std::span不提供运行时越界检查，仅构造时验证指针有效性（debug模式或调用at()时才有检查），operator[]和data()无边界检查，at()是唯一带检查的访问方式，安全使用需确保内存生命周期长于span且长度准确。
std::span 本身不提供运行时越界检查，直接访问 operator[] 和 data() 都可能越界——它只在构造时验证指针+长度是否合法（且仅当启用了调试模式或手动调用 at()）。
std::span 构造时就可能出错：空指针、null + 非零长度、非连续内存
构造 std::span 不等于“安全”，而是把责任交还给调用者。标准要求：若传入空指针且长度非零，行为未定义；若指针有效但长度超出实际可用内存，span 仍会构造成功（除非编译器/STL 在 debug 模式下拦截）。
- ✅ 安全构造：
int arr[5] = {1,2,3,4,5}; std::span<int> s{arr}; // 自动推导 size() == 5 - ❌ 危险构造：
int* p = nullptr; std::span<int> s{p, 10}; // UB！即使没访问元素，构造即崩溃（debug 下常触发 assert） - ⚠️ 表面合法但危险：
std::vector<int> v = {1,2,3}; std::span<int> s{v.data(), 10}; // 构造成功，但 s.size() == 10 → 后续访问越界
用 at() 替代 operator[] 获取运行时边界检查
operator[] 和 data() 都不检查索引——它们和裸指针一样快，也一样危险。at() 是唯一标准提供的带检查的随机访问方式，越界时抛出 std::out_of_range。
-
s[i]：无检查，等价于*(s.data() + i) -
s.at(i)：有检查，debug 和 release 下都生效（C++20 要求） -
s.front()/s.back()：不检查空 span，调用前需确认!s.empty()
std::span<int> s{arr, 3};
// s[5]; // UB —— 不报错，但踩内存
// s.at(5); // 抛 std::out_of_range搭配 std::array 或容器 .data() 使用最稳妥
真正安全的前提是：源内存生命周期长于 span，且长度信息准确。std::array、std::vector::data()、栈数组名转指针是最可靠来源。
立即学习“C++免费学习笔记（深入）”；
- 推荐写法：
std::array<int, 4> a = {1,2,3,4}; std::span s = a; // 类型自动推导，size 编译期确定，完全安全 - 谨慎写法：
std::vector<int> v = {1,2,3}; std::span s{v.data(), v.size()}; // ✅ 正确；{v.data(), 10} ❌ 错误 - 禁止写法：
std::span<int> f() { int local[3] = {1,2,3}; return std::span{local}; // 返回悬垂 span！local 栈内存已销毁
想真做越界防护？得靠工具链，不是靠 span 本身
std::span 的设计哲学是“零开销抽象”，不是“安全抽象”。真正的越界防护要依赖：
- AddressSanitizer（ASan）：编译时加
-fsanitize=address，能捕获绝大多数span越界读写 - MSVC 的
/RTCc（运行时检查）或 STL 的_ITERATOR_DEBUG_LEVEL=2 - 静态分析工具（如 clang-tidy 的
cppcoreguidelines-pro-bounds-array-to-pointer-decay）
别指望 span 自己拦住所有错误——它只是帮你把“裸指针+长度”这个易错模式封装得更清晰，越界检查这件事，终究得靠人写对、工具兜底。
