Go E03：cgo 与 unsafe 怎样改变资源边界

E02让任务提交校验不再依赖运行时逐字段检查。本系列的业务仍由原 Go HTTP/SQL 服务处理；本篇只给原分析器接一个受控的本地函数，检查文字输入能否穿过 C 边界。完整工程及实验包、SHA-256、独立复跑步骤随文提供。

先规定谁拥有内存

固定 Go 1.27.1 的 cmd/cgo 文档区分 Go 内存指针与 C 内存指针：Go 指针传给 C 要遵循 pin 规则，C.CBytes 在 C 堆新建数据副本，需要调用者释放。native/sum.go:SumASCII 先拒绝零长度、超过 4096 字节、NUL 或非 ASCII 的输入，再用 C.CBytes 复制字节到 C 内存；只在 task_ascii_sum 调用期间把这份 C 内存通过 unsafe.Pointer 转成 C 字节指针，返回前以 defer C.free 释放。C 函数只在给定长度内求字节和，不保存地址，也不访问网络或数据库。

这条路径没有把 Go slice 的地址留给 C，但使用了 unsafe 和本地编译器，原 Go 类型系统无法替 C 函数证明越界、悬垂或其他内存安全性质。本地函数没有异步回调；若让 C 缓存指针，现有验收不能支持那种资源生命周期。循环一百次 "Go" -> 182 只能确认结果稳定且代码路径执行，不能当作泄漏检测；真正的释放责任写在 C.CBytes 与 C.free 这一对调用上。

正反输入和任务终态分别核对

TestLocalNativeFunctionAndInvalidInputs 实际构建并启动 cgo 测试二进制，拒绝空、NUL、UTF-8 中文、4097 字节的输入，错误信息逐项入原始日志。单纯输入错误不能代替服务验收；TestNativeTaskUsesExistingHTTPAndTerminalRules 用原 HTTP handler、worker 和任务状态提交协议，只把分析函数换成先调用本地函数再调用原统计函数的 adapter。提交 Go one 返回 202，按 ID 查到 SUCCEEDED/words=2；提交 中文 也先接纳，但分析器拒绝该输入，最终查到 FAILED/words=0。这里的 202 仍只表示接纳，不会因「本地函数被调用」自动成为成功结果。

编译边界也是失败路径

构建证据记录 CGO_ENABLED=1、gcc 13.3.0、Go 1.27.1，以及真实的 go test -c 产物和十轮执行。同一个 native 包设 CGO_ENABLED=0 时，go test ./native 退出非零；实际错误是 undefined: SumASCII，因为测试文件仍参加编译而实现的 cgo 文件被跳过。验收脚本首次只按另一种可能的 build constraints exclude all Go files 文字断言而失败，修正后保留实际禁用 cgo 的非零结果。禁用 cgo 不是纯 Go 的同等运行模式，原服务主程序本身也没有因此被改写为 C 服务。

练习：①把 C.CBytes 返回的地址保留在全局供之后使用安全吗？答：不安全；本版只在同步调用内使用并释放，跨调用需另定义所有权与释放时机，不能复用已 free 地址。②当输入里含 NUL，能否把 C 函数截断后的结果报成成功？答：不能；入口在分配前拒绝，局部测试为错误，服务任务最终为 FAILED 而非伪造结果。③go test -race 没报错是否证明 C 函数无越界？答：不能；race 只覆盖执行路径上的受支持检测，不是 C 内存安全证明。

同名包在新目录独立构建 native 测试程序、做禁用 cgo 反例、真 PostgreSQL 全包/race 和旧 CLI 正反，随后单独验收 Hexo 页面与下载。未运行其他平台、C sanitizer、C 异步持有指针、远程部署或全站构建，均为 NOT_RUN；不把 cgo 实验冒充纯 Go 内存保证。E04讨论 RPC 的取消和服务端退出。