shm_open("/data", O_CREAT|O_RDWR, 0600) 的内核视图:

   glibc: snprintf("/dev/shm/data"); open(...)
                        │
                        v
   /dev/shm 是 tmpfs 挂载点 (37.4 节内存文件系统)
   open 即普通文件操作: 建 inode / 查 dcache
                        │
                        v
   ftruncate(fd, size): shmem_setattr → 页数定调 (不分配页!)
                        │
                        v
   mmap(NULL, size, PROT_READ|WRITE, MAP_SHARED, fd, 0)
                        │
                        v
   22.3 节 mmap 全流程 → VMA 建立后缺页时
   shmem_fault 供货 (页即 tmpfs 页缓存页)

shm_open 时代的问题: /dev/shm 的名字是全局攻击面
 (可被猜测/抢先创建/pre-open 泄漏), 容器隔离需要
 "连名字都不存在"的共享内存。

memfd_create("heap", MFD_CLOEXEC) 的答案:
 [1] mm/memfd.c: 在 shmem 上建匿名文件 (无路径!),
     返回一个普通 fd
 [2] 传递: 经 SCM_RIGHTS (unix 域 socket 辅助消息)
     把 fd 发给无关进程 — 48 章套接字层的"能力传递"
 [3] 权限即 fd: 拿到 fd 才能映射, 无名不可猜
     (MFD_CLOEXEC 防 exec 泄漏, MFD_HUGETLB 大页变体)

 消费者: QEMU 虚机内存后端 (23.4.3 节 memfd+THP),
 Chromium 的共享渲染缓冲, io_uring 的注册缓冲 (37 章)

 SEAL 机制 (MFD_ALLOW_SEALING):
 fcntl(fd, F_ADD_SEALS, F_SEAL_SHRINK|F_SEAL_WRITE...)
 让 fd 持有者"冻结"文件的大小/写性 —
 共享给不可信方后禁止其截断/改写 (防 TOCTOU)

                     建段入口                    内核事实
 ┌─────────────────────────────────────────────────────────┐
 │ shm_open("/x") + ftruncate + mmap                        │
 │   /dev/shm 的 tmpfs 文件 ──────┐                          │
 │                                │                         │
 │ memfd_create → SCM_RIGHTS ─────┼──> shmem 文件的页缓存页  │
 │                                │    缺页时 shmem_fault    │
 │ SysV shmget + shmat (28.4)     │    供货 (22.4 节矩阵)    │
 │   shm_mnt 上的内部文件 ─────────┘                         │
 └─────────────────────────────────────────────────────────┘
  三个 API, 一个真相: 共享 = 映射同一个文件
  性能上限 = 内存带宽; 语义差异只在命名与生命周期

// mm/mmap.c:567-608（节选）
unsigned long ksys_mmap_pgoff(unsigned long addr, unsigned long len,
                  unsigned long prot, unsigned long flags,
                  unsigned long fd, unsigned long pgoff)
{
    struct file *file = NULL;
    unsigned long retval;

    if (!(flags & MAP_ANONYMOUS)) {
        audit_mmap_fd(fd, flags);
        file = fget(fd);
        if (!file)
            return -EBADF;
        if (is_file_hugepages(file)) {
            len = ALIGN(len, huge_page_size(hstate_file(file)));
        } else if (unlikely(flags & MAP_HUGETLB)) {
            retval = -EINVAL;
            goto out_fput;
        }
    } else if (flags & MAP_HUGETLB) {
        ...
        /*
         * VM_NORESERVE is used because the reservations will be
         * taken when vm_ops->mmap() is called
         */
        file = hugetlb_file_setup(HUGETLB_ANON_FILE, len, ...); /* :597 */
        if (IS_ERR(file))
            return PTR_ERR(file);
    }

    retval = vm_mmap_pgoff(file, addr, len, prot, flags, pgoff);    /* :605 */
out_fput:
    if (file)
        fput(file);
    return retval;
}

mmap 后读写的真实路径:

 读 (指针访问):
   缺页 (22.4 节) → filemap_fault → 页缓存命中/读盘
   → pte 指向页缓存页 → 之后每次访问 = 纯访存 (无系统调用!)
   与 read() 对照: read = 页缓存 → 用户缓冲 (一次拷贝)

 写 (MAP_SHARED):
   pte 可写 → 直接写页缓存页 → PG_dirty (19.2.2 节)
   落盘交给回写系统 (36.3 节 flusher, 秒级延迟)
   msync/fsync 才有确定性

 写 (MAP_PRIVATE):
   COW (25.3 节) → 私有匿名副本, 文件永不被改

 页缓存的一致性税 (30.2.4 节展开):
   mmap 写与 write() 写、DMS 副路径的同页视图
   由同一页缓存保证 — 这是"映射 I/O"的天然优势

// mm/msync.c:32-114（节选）
SYSCALL_DEFINE3(msync, unsigned long, start, size_t, len, int flags)
{
    ...
    if (offset_in_page(start))
        goto out;
    if ((flags & MS_ASYNC) && (flags & MS_SYNC))
        goto out;           /* 两态互斥 */
    ...
    /*
     * If the interval [start,end) covers some unmapped address ranges,
     * just ignore them, but return -ENOMEM at the end...
     */
    mmap_read_lock(mm);
    vma = find_vma(mm, start);
    for (;;) {
        ...
        file = vma->vm_file;
        fstart = (start - vma->vm_start) +
             ((loff_t)vma->vm_pgoff << PAGE_SHIFT); /* 虚→文件偏移换算 */
        fend = fstart + (min(end, vma->vm_end) - start) - 1;
        start = vma->vm_end;
        if ((flags & MS_SYNC) && file &&
                (vma->vm_flags & VM_SHARED)) {
            get_file(file);
            mmap_read_unlock(mm);       /* 落盘是长操作: 放锁! */
            error = vfs_fsync_range(file, fstart, fend, 1); /* :96 */
            fput(file);
            if (error || start >= end)
                goto out;
            mmap_read_lock(mm);     /* 回锁继续下一 VMA */
            vma = find_vma(mm, start);
        }
        ...
    }
}

mmap I/O 的四大坑 (全部源于"页缓存单副本"的另一面):

 [1] write() 与 mmap 混用同一文件:
    共享同一页缓存, 数据视图一致 ✓ — 但 msync/fsync
    责任不自动转移: mmap 写的页需要 msync, write 写的
    页需要 fsync, 元数据都需要后者

 [2] MAP_SHARED 写后 truncate:
    另一进程把文件截短 → 映射区间触达洞 → SIGBUS
    (36 章页缓存的 i_size 裁剪) — memfd sealing
    (30.1.2 节) 正是为此而生的防御

 [3] 越界写不越权:
    尾页部分映射时, 写"文件尾之后的页内字节"合法且
    会写进页缓存但不落盘 — 检查不出越界却丢数据

 [4] fork 的映射继承:
    MAP_SHARED 映射随 fork 继承 (父子继续共享),
    MAP_PRIVATE 的 COW 父子分家 — 审计内存语义时
    必须区分"继承映射"与"继承页"