riscv64: raise NR_CPUS from 1 to 4 · Pull Request !477 · openKylin（孵化期）/x-kernel

## 概述

为 `riscv64-qemu-virt` 平台启用对称多处理（SMP）支持，将最大 CPU 数从 1 提升至 4，并建立 RISC-V `gp` 寄存器不变量机制，防止 SMP 场景下任务跨 hart 迁移导致的 percpu 基址污染。

## 主要变更

### 1. 平台配置：`NR_CPUS` 提升

- **`platforms/riscv64-qemu-virt/defconfig`**：将 `NR_CPUS` 从 `1` 改为 `4`，使该平台支持最多 4 个 hart 并行调度。

### 2. `gp` 寄存器不变量（核心改动）

在 SMP 环境下，trap handler 可能在处理 page-fault 等异常时阻塞，导致任务在 `PUSH_GENERAL_REGS` 与 `POP_GENERAL_REGS` 之间迁移到另一个 hart。由于 `gp`（x3）在 RISC-V 上固定持有当前 hart 的 percpu 基址（`percpu` crate），若从可迁移的 per-task trapframe 恢复 `gp`，会将旧 hart 的基址装入新 hart，导致 `current()` 和 `this_cpu_id()` 指向错误的 CPU 与任务——这是一个严重的跨任务指针泄漏问题。

为解决此问题，本 PR 建立了 **`gp` 每 hart 不变量**：

- **`arch/kcpu/src/riscv/macros.rs`**：`PUSH_POP_GENERAL_REGS` 宏不再保存/恢复 `gp`（slot-3）。该 slot 改为承载**用户态** `gp` 在 U-mode trap 往返中的中转值。S-mode trap 返回时完全不动 `gp`，保持本 hart 的 percpu 基址不变。

- **`arch/kcpu/src/riscv/excp.S`**：
 - `.Lexit_user` 入口新增 `STR gp, sp, 3`：在切换到 callee frame 之前，将用户态 `gp` 存入 trapframe slot-3，供后续 U-mode 返回时恢复。
 - `.Ltrap_return` 新增 SPP 判断逻辑：通过 `andi t0, t1, 1 << 8` 检查 sstatus.SPP 位。若 `SPP==1`（S-mode 返回），跳过 `gp` 恢复，保持本 hart 的 percpu 基址；若 `SPP==0`（U-mode 返回），从 slot-3 恢复用户 `gp`。

### 3. 类型转换修正

- **`arch/khal/src/percpu.rs`**：将 `current_task_ptr()` 中 RISC-V/LA64 路径的 `as _` 改为显式 `as *const T`，与 x86_64 路径的转换方式保持一致，消除隐式类型推断的歧义。

### 4. 文档更新

- **`arch/kcpu/docs/design.md`**：在"调用约束/执行上下文"章节新增 `gp` 不变量的详细说明，解释为何 `PUSH_POP_GENERAL_REGS` 不触碰 `gp`、U-mode/S-mode 返回的分支处理逻辑，以及跨 hart 迁移场景下的安全保证。
- **`arch/kcpu/docs/security.md`**：在"信任边界"章节新增 `gp` 安全考量，阐明从 trapframe 恢复 `gp` 可能造成的跨任务指针泄漏风险及当前防护措施。

## Diagram Walkthrough

以下流程图展示了 U-mode trap 发生时 `gp` 寄存器的完整生命周期，以及 S-mode 与 U-mode 返回路径的分支处理：

```mermaid
flowchart TD
 A["U-mode 用户代码运行中 gp = 用户态值"] --> B["Trap 进入 csrrw sp, sscratch, sp"]
 B --> C["PUSH_GENERAL_REGS （不触碰 gp / slot-3）"]
 C --> D{"sstatus.SPP == 0？ （来自 U-mode？）"}
 D -->|是| E[".Lexit_user： STR gp, sp, 3 将用户 gp 存入 slot-3"]
 E --> F["从 callee frame 恢复 内核 gp（slot-13）"]
 D -->|否 S-mode| G["保持本 hart 内核 gp"]
 F --> H["trap handler 处理 （可能阻塞 & 任务迁移）"]
 G --> H
 H --> I[".Ltrap_return： 从 t1 读取 sstatus.SPP"]
 I --> J{"SPP == 1？ （S-mode 返回？）"}
 J -->|是| K[".Lgp_skip： 跳过 gp 恢复 保持本 hart percpu 基址"]
 J -->|否 U-mode| L["LDR gp, sp, 3 恢复用户 gp"]
 K --> M["POP_GENERAL_REGS （不触碰 gp / slot-3）"]
 L --> M
 M --> N["sret 返回"]

style E fill:#FF9800,color:#fff
    style K fill:#4CAF50,color:#fff
    style L fill:#2196F3,color:#fff
```

## 影响范围

| 维度 | 说明 |
|------|------|
| **架构** | 仅影响 `riscv64` 架构，不涉及 x86_64、aarch64、loongarch64 |
| **平台** | 仅 `riscv64-qemu-virt` 的 `NR_CPUS` 变更，其他 riscv64 平台不受影响 |
| **兼容性** | 向后兼容 —— `NR_CPUS=4` 大于原值 `1`，单核场景仍正常工作；`gp` 不变量在单核下同样安全 |
| **内存开销** | percpu 数组（`raw_cpu_ids_by_logical` 等）从 1 槽扩展至 4 槽，开销可忽略 |
| **安全性** | 修复了 SMP 下潜在的跨 hart percpu 基址污染漏洞（`current()` 指向错误 CPU） |

类型	指派人员	状态
审查	Debin 已审查通过郭伟康于博	已完成 (1/1人)
测试	王1宁已测试通过 x-cibot 已测试通过	已完成 (2/1人)

openKylin（孵化期） / x-kernel .gitee-modal { width: 500px !important; }

搜索帮助

openKylin（孵化期） / x-kernel