runtime---ivar值真正的内存地址

前言

一提起runtime，大家都会想起class , isa, metaclass, methodList, ivarList, propertyList等等，网上这方面的介绍数不胜数。并且大家都知道class里的ivarList存放着所有ivar的name、type等信息。但是ivar的value放在哪呢？
我们经常用class_copyIvarList方法打印类的所有成员变量名称，如下：

    unsigned int count = 0;
    Ivar *ivarList = class_copyIvarList([Foo class], &count);
    for (int i = 0; i < count; i++) {
        Ivar ivar = ivarList[i];
        const char *name = ivar_getName(ivar);
        NSString *tName = @(name);
        NSLog(@"ivar:%@", tName);
    }

这些代码给了我们一些错觉，所有ivar的名字和值都存在class里，都存在object的isa里！下面我们用代码验证一下。

ivar值存在Class类里？

先定义一个Foo类：

@interface Foo : NSObject
@property(nonatomic, strong) NSString *name;    
@end

然后打印Foo类的两个实例的isa值：

    Foo *foo1 = [[Foo alloc] init];
    foo1.name = @"cat";

    Foo *foo2 = [[Foo alloc] init];
    foo2.name = @"dog";

    NSLog(@"foo1->isa--%p", [foo1 class]);
    NSLog(@"foo2->isa--%p", [foo2 class]);

日志：

foo1->isa--0x10ed00df0
foo2->isa--0x10ed00df0

object的定义

typedef struct objc_object {
    Class isa;
} *id;

isa地址居然是相同的！可object的结构体就一个isa变量，如果isa都一样，那两个实例foo1和foo2怎么区分呢？foo1.name的cat和foo2.name的dog又存储在哪了呢？
唯一一种解释Class里有一个map, 用来存储每个对象的所有ivar值？

key	value
foo1	{"name":"cat",...}
foo2	{"name":"dog",...}
...	...
fooN	{"name":"nnn",...}

但是仔细一想，不大可能，感觉这种方式很蠢，需要把所有对象的ivar值都存到Class里，而且class的结构体里并没有类似的map。这个假设真伪性稍后再回答，先谈一下isa混淆，它让这个假设瞬间打脸！

isa混淆---证明ivar值不在Class里

isa混淆就是将object的isa替换成它的子类，在子类里添加我们自定义的方法来实现某些特定的功能。isa混淆与方法混淆最大的不同是，isa混淆只会影响一个对象，而不是所有的对象。最常见的例子就是KVO, 被监听的对象的isa全换成了带有NSKVONotifying_前缀的子类，然后替换了被监听属性的setter方法的IMP。
isa混淆后对象仍有原来的所有功能，包括ivar值也没有丢失。此时有没有疑问？为什么isa换成新的类了，为什么之前存储的ivar的值都可以继续访问？难道它把ivar值都copy到新的类里了？好吧，我不想再骗自己了！事实证明ivar值并没有在Class里。

object_getIvar找到了答案

id object_getIvar(id obj, Ivar ivar)
{
    if (!obj  ||  !ivar  ||  obj->isTaggedPointer()) return nil;

    ptrdiff_t offset;
    objc_ivar_memory_management_t memoryManagement;
    _class_lookUpIvar(obj->ISA(), ivar, offset, memoryManagement);

    id *location = (id *)((char *)obj + offset);

    if (memoryManagement == objc_ivar_memoryWeak) {
        return objc_loadWeak(location);
    } else {
        return *location;
    }
}

_class_lookUpIvar(Class cls, Ivar ivar, ptrdiff_t& ivarOffset, 
                  objc_ivar_memory_management_t& memoryManagement)
{
    ivarOffset = ivar_getOffset(ivar);
    ...
    ...
}

先通过ivar_getOffset取得ivar的offset,然后直接用obj+offset获取ivar值，就这么简单。

看到这时，我想起了FLEX查找对象是被谁引用的代码，跟这个非常相似：

+ (instancetype)instancesTableViewControllerForInstancesReferencingObject:(id)object
{
    NSMutableArray *instances = [NSMutableArray array];
    NSMutableArray *fieldNames = [NSMutableArray array];
    [FLEXHeapEnumerator enumerateLiveObjectsUsingBlock:^(__unsafe_unretained id tryObject, __unsafe_unretained Class actualClass) {
        Class tryClass = actualClass;
        while (tryClass) {
            unsigned int ivarCount = 0;
            Ivar *ivars = class_copyIvarList(tryClass, &ivarCount);
            for (unsigned int ivarIndex = 0; ivarIndex < ivarCount; ivarIndex++) {
                Ivar ivar = ivars[ivarIndex];
                const char *typeEncoding = ivar_getTypeEncoding(ivar);
                if (typeEncoding[0] == @encode(id)[0] || typeEncoding[0] == @encode(Class)[0]) {
                    ptrdiff_t offset = ivar_getOffset(ivar);//获得ivar的偏移量
                    uintptr_t *fieldPointer = (__bridge void *)tryObject + offset;//通过偏移获得对象
                    if (*fieldPointer == (uintptr_t)(__bridge void *)object) {
                        [instances addObject:tryObject];
                        [fieldNames addObject:@(ivar_getName(ivar))];
                        return;
                    }
                }
            }
            tryClass = class_getSuperclass(tryClass);
        }
    }];
   ...
   ...
}

然后在mac os上调试得知offset是8字节, 我们再看一下isa指针的大小

(lldb) p sizeof([Foo class])
(unsigned long) $0 = 8

isa也占8个字节，ivar恰好在isa后面，所以ivar值虽然没在object的结构体里，而是一直它的屁股后面。不同的object，虽然Isa是相同的，但是object的地址是不同的！所以Ivar值的地址也是不同的，这样就可以解释所有的问题了。

所以真正的object结构是这样的：

struct objc_object   struct Foo_instance
{                    {
  Class isa;           Class isa;
                       id ivar1;
                       id ivar2;
                       …
}                    }

父类的Ivar值在哪？

经过ivar_getoffset()方法测试，在isa后面的先是父类的Ivar，再是子类的ivar

struct Foo_instance {
    Class isa;
    id superIvar1;
    id superIvar2;
    id ivar1;
    id ivar2;
}

ivar赋值，_name="xxx"，编译器将它翻译成了什么？

我本来以为系统会调用下面的方法实现：

        Ivar ivar = class_getInstanceVariable([Foo class], "_name");
        object_setIvar(foo, ivar, @"xxx")

然而我在class_getInstanceVariable方法这加了断点，系统并没有调用。那系统是怎么处理的呢？为了查原因，用clang命令查看c++代码，如下：
转化前setter方法：

- (void)setName:(NSString *)name {
    _name = @"haha";
}

转化后c++代码:

static void _I_Foo_setName_(Foo * self, SEL _cmd, NSString *name) {
    (*(NSString **)((char *)self + OBJC_IVAR_$_Foo$_name)) = (NSString *)&__NSConstantStringImpl__var_folders_0p_tz5_9qns3vl5bztbvwv37m8c0000gn_T_Foo_39d932_mi_1;
}
static NSString * _I_Foo_name(Foo * self, SEL _cmd) { return (*(NSString **)((char *)self + OBJC_IVAR_$_Foo$_name)); }

系统也是直接使用ivar_getoffset来set和get变量。

还发现一个意外收获，代码如下：

struct Foo_IMPL {
    struct NSObject_IMPL NSObject_IVARS;
    NSString *_name;
    NSString *_password;
    id _vc;
};

而那个NSObject_IMPL就是isa:

struct NSObject_IMPL {
    Class isa;
};

这不就是真正的object的结构体吗。。自己绕了半天，原来c++源码里都写好了！……
还是那句话---源码下面无秘密

为什么category不能添加ivar，只能添加method呢？

通过上面的分析，这个问题的答案已经很明显了。但是这个问题曾经困扰了我久，之前面试的时候也被问题到过，我回答：类的结构空间已经分配好了，不能改了。但是再往下讲就不会说了，不知道了。。很是尴尬。现在这个问题不就迎刃而解了么？因为Foo_IMPL结构体已经定义好了，要想加ivar就得往结构体里添加变量，而这是不可能的，结构体无法改变！而为什么添加mehtod就可以呢？因为mehtod是存在一个method_list数组里怎么加怎么加。。

结语

结论很简单，ivar放在object的后面。我主要是阐述了我找这个答案的过程和思路。其实我找答案花了非常多的时间。网上runtime的文章我都不知道看了几百篇，都看烂了，最终也没得到想要的东西。后来一想，我为什么总穿二手鞋？为什么总看别人总结的东西？我完全可以看源码来了解其中的奥秘。我不要鱼，而要渔~~~
自己动手，丰衣足食^_.