ABI兼容性是隐形地雷：C++标准升级或头文件修改易破坏二进制接口，导致运行时崩溃；必须严守类布局、虚函数表、标准库类型使用规范，优先采用Pimpl和Tier 1现代特性。
不能直接改标准、不能动头文件里的类布局、不能暴露私有实现——否则 ABI 一崩，所有下游模块当场失效。
为什么一升级就崩溃？ABI 兼容性是隐形地雷
你把 -std=c++20 加进 CMake，编译过了，链接也过了，但运行时一调用某个类的成员函数就 segfault，大概率是 ABI 被破坏了。C++98 类的内存布局（比如虚表位置、成员偏移、sizeof）和 C++20 下 std::string 或 std::vector 的实现细节不兼容。只要头文件里暴露了任何依赖标准库内部布局的成员（例如 std::string m_name;），哪怕只是加个 const 或换个默认参数，都可能让二进制接口错位。
- 所有导出给外部使用的类，其 public/protected 成员变量必须保持原始类型和顺序；不要在头文件中新增、删除、重排、改类型
- 避免在头文件中使用
std::vector、std::string、std::optional等非 POD 类型作为 public 成员——它们的 ABI 在不同标准/编译器版本间不稳定 - 虚函数表一旦生成就不能增删虚函数，也不能改变虚函数签名（包括 const/volatile 修饰）
- 若必须引入现代类型，全部塞进 Pimpl 实现体里，头文件只留一个
class Impl;声明和std::unique_ptr<Impl> d_ptr;
怎么改裸指针？别只换 new/delete，先理清所有权链路
盲目把 MyClass* p = new MyClass; 换成 std::unique_ptr<MyClass> p = std::make_unique<MyClass>(); 是最常见炸点。旧代码里裸指针常被“传递所有权”（比如工厂函数返回 new 出来的指针，调用方负责 delete），而 std::unique_ptr 移动后原变量变空，如果旧逻辑还试图访问或再 delete，就是悬空指针或 double-free。
- 搜索所有
return new、new Xxx()和delete，标注每处指针的生命周期归属：谁 new、谁 delete、是否共享、是否缓存 - 单所有权场景（如局部资源、独占句柄）→ 用
std::unique_ptr，配合std::move显式转移 - 多所有权或观察者模式（如对象注册到全局管理器）→ 改用
std::shared_ptr，但必须检查循环引用（尤其this被 capture 进 lambda 时） - 若类已有裸指针成员且被外部直接访问（如
p->data），不能直接换成智能指针——先封装 getter/setter，再逐步收敛访问路径
哪些现代特性可以今天就用？优先选 Tier 1 安全项
不是所有 C++20/23 特性都适合遗留系统。Trail of Bits 的 Feature Tiers 分级更实用：Tier 1（今天就用）是编译器支持成熟、ABI 影响为零的特性，比如 std::span、std::format、std::expected、std::jthread、std::flat_map。它们不改变类布局，不侵入头文件 ABI，只替换实现体内的逻辑。
立即学习“C++免费学习笔记（深入）”；
-
std::span<T>替代T*+size_t参数对：零成本抽象，无额外内存开销，且能静态捕获越界访问（配合 sanitizer） -
std::format替代sprintf/std::ostringstream：类型安全、无缓冲区溢出风险，且不依赖头文件暴露标准库实现 -
std::expected<T, E>替代返回码 + 输出参数：比std::pair<int, T>更语义清晰，且可在 .cpp 内部使用，不污染头文件 - 所有新特性必须放在实现文件（.cpp）里用；头文件只保留 C++98 兼容接口，连
auto都慎用——它可能推导出 ABI 不稳定的迭代器类型
自动化工具怎么配？Clang-Tidy 不是万能钥匙
执行 clang-tidy -checks='modernize-*' *.cpp 可能批量把 for (int i = 0; i < v.size(); ++i) 改成 for (const auto& x : v)，但若 v 是 std::vector<BigStruct>，而旧逻辑本意是只读却漏写 const，就会触发深拷贝——性能暴跌还不报错。
- 禁用自动修复高风险检查项：
-checks='-modernize-use-auto,-modernize-loop-convert'，这些容易破坏语义 - 启用安全优先的检查：
-checks='cppcoreguidelines-*,performance-*,bugprone-*,cert-*'，重点抓内存泄漏、未初始化变量、不安全的类型转换 - 所有修复必须人工审查：尤其关注
auto推导结果（用clang -Xclang -ast-dump看实际类型）、std::move使用位置、异常规范变更（如加noexcept可能破坏虚函数覆盖） - CI 中必须跑 AddressSanitizer + UBSan，因为很多 ABI 错位问题在调试器里不显，在 ASan 下立刻暴露
真正难的不是语法替换，是判断哪一行代码背后绑着三个插件、两个脚本和一个没文档的硬件驱动——那些地方改了，没人敢测。所以每次只动一个最小可验证单元，用 Pimpl 隔离，用 CI 挡住 regressions，比追求“全面现代化”重要得多。
