std::span 传参本身安全，危险在于其指向已销毁内存；应由调用方管理数据生命周期，函数内仅构造视图，避免返回局部容器的 data() 构造的 span。
直接用 std::span 传参本身不危险，危险的是让 std::span 指向已销毁或即将销毁的内存——这是绝大多数崩溃和未定义行为的根源。
为什么返回局部 vector 的 data() 构造的 span 会崩
常见错误是写类似这样的函数：
auto get_span() {
std::vector<int> v = {1, 2, 3};
return std::span<int>{v.data(), v.size()};
}
问题不在 std::span 本身，而在于 v 是栈上局部变量，函数返回时自动析构，v.data() 指向的堆内存被释放。返回的 std::span 成为悬垂视图，后续任何访问（如 s[0] 或 for (auto x : s)）都是未定义行为。
- 编译器几乎不会报错，运行时可能偶然正常、也可能随机崩溃或读到垃圾值
- 即使你把
std::vector改成std::array或原生数组，只要它生命周期短于 span，同样踩坑 - Clang/GCC 的 AddressSanitizer 可以捕获这类问题，但需主动开启
-fsanitize=address
安全传参：只让调用方持有数据，函数内构造 span
正确姿势是把数据所有权完全交给调用方，被调函数只接收“能活过自己”的原始容器引用，再在函数体内转成 std::span：
立即学习“C++免费学习笔记（深入）”；
void process(std::span<const int> s) {
// 安全使用 s
}
<p>// 调用方确保 vec 生命周期足够长（比如是成员变量、静态变量或作用域外声明）
std::vector<int> vec = {1, 2, 3, 4, 5};
process(vec); // OK：vec.data() + vec.size() 在 process 内有效
process(std::span<const int>{vec.data() + 2, 3}); // OK：子切片也由 vec 保证内存有效
- 永远不要把
std::span当返回值类型来传递「新数据」，除非你 100% 确保底层存储活得比 span 久 - 接受
const std::vector<int>&</int>、const std::array<int n>&</int>或int[N]都可以隐式转成std::span<const int></const>，无需手动构造 - 若必须返回视图（例如解析二进制协议时），返回
std::span<const std::byte></const>并明确文档要求调用方保证源 buffer 不销毁
const 正确性不是可选，是编译期强制契约
传 std::span<int></int> 和 std::span<const int></const> 是两种完全不同的接口语义，混用会直接编译失败：
void read_only(std::span<const double> s); // 只读
void read_write(std::span<double> s); // 可写
<p>const std::vector<double> v = {1.1, 2.2};
read_only(v); // OK
read_write(v); // ❌ 编译错误：不能从 const vector 构造非 const span
read_write(std::span<double>{const_cast<double*>(v.data()), v.size()}); // 危险且丑陋，别这么干
- 函数参数优先声明为
std::span<const t></const>，除非你真需要修改原始数据 - 临时用
std::span<t></t>接收非 const 容器没问题，但禁止用它去接 const 容器或字面量数组（如int a[] = {1}; read_only(a);是 OK 的，因为a是非 const 数组） - 模板推导时，
auto s = std::span{arr}推出的是std::span<const int n></const>（C 风格数组默认 const），注意是否符合你的读写意图
子切片（subspan）的安全边界依赖原始 span 的有效性
subspan 本身不复制、不分配，只是调整内部指针和长度，所以它的安全性完全继承自父 std::span：
std::vector<int> buf = {/* 大块数据 */};
auto full = std::span<const int>{buf};
auto header = full.subspan(0, 8); // OK
auto payload = full.subspan(8); // OK
// 后续所有对 header / payload 的访问，都依赖 buf 仍有效
- 越界调用
subspan(offset, count)（如offset > size()）会触发断言（debug 模式）或未定义行为（release 模式），务必提前检查 - 没有运行时边界检查的
operator[]；如需防护，用at()（抛异常）或手动判断索引 - 静态 extent 的
std::span<int></int>在编译期就固定大小，subspan若超出范围会直接编译失败，适合硬编码协议头解析
最易被忽略的一点：span 的“安全”不来自它自己，而来自你对数据生命周期的显式管理意识——它不阻止你犯错，只是让错误更容易暴露、更难被忽视。
