[rustjava-null-guard-string-init-and-arraycopy-p0] fix: null 인자 9경로를 호스트 abort 대신 NullPointerException 으로 (#36)

[rustjava-null-guard-string-init-and-arraycopy-p0] fix: null 인자 9경로를 호스트 abort 대신 NullPointerException 으로

Author: Jun025

REPORT.md

@@ -1,5 +1,22 @@
 # REPORT
 
+## [2026-09-11] null 인자가 호스트를 죽이던 9경로에 가드 (rustjava-null-guard-string-init-and-arraycopy-p0)
+- 무엇을: `String.<init>` 7개 오버로드와 `System.arraycopy`(`src`·`dest`)에 진입부 `is_null()` 가드를 넣어,
+  null 을 넘겼을 때 **Rust 패닉(= 호스트 프로세스 abort)** 대신 **`NullPointerException`** 이 나게 했다.
+  회귀 잠금 = 픽스처 `test-data/NullArgGuards`(9케이스). 채택 제안 `2026-09-11-s5-duplicate-issuance-stale-next-close#p0`.
+- 왜: `ClassInstanceRef::deref` 가 `self.instance.as_ref().unwrap()` 이라 **null 이 닿는 순간 되돌릴 수 없다** —
+  게스트 Java 코드의 흔한 실수가 JVM 전체를 죽였다. 가드가 **짝이 안 맞는** 것이 급소였다:
+  `([CII)`·`(II[C)` 만 막혀 있고 `[B` 계열은 전부 뚫려 있었다.
+- 사용자 영향: 에뮬레이터가 게스트의 null 실수로 **죽지 않는다**. 정상 입력의 동작은 **불변**(가드 «앞»에서
+  패닉하던 입력만 예외로 바뀐다) · API 시그니처·의미 변경 **0**.
+- 검증: ★**개악 대조** — 가드 전건 되돌리면 `test_class` **FAILED**(`Option::unwrap()` on `None` at
+  `jvm/src/class_instance.rs:108`) ↔ 복원 시 **ok** ⇒ 픽스처가 공허하지 않다.
+  DoD 7종 rc=0 · `cargo test --all` **554/0/1**(★`test_class` 가 픽스처를 한 함수로 순회하므로 **계수 불변이 맞다**).
+- ★**제안의 「8경로」는 «9곳»이었다**: `System.arraycopy` 는 `src`·`dest` **둘 다** 뚫려 있었는데 STATE ③-2 가
+  그것을 1건으로 셌다. ⇒ 다음에 그런 표를 쓸 땐 **인자 단위로** 세라.
+- 후속 추천: `rustjava-null-guard-audit-remaining-runtime-entrypoints`(P3) — 이 회차는 **STATE ②가 열거한 범위만** 닫았다.
+  같은 형태(`ClassInstanceRef` 를 받아 곧장 deref)가 런타임 전체에 몇 개나 남았는지는 **아무도 세지 않았다**.
+
 ## [2026-09-11] S5 중복 발권 판정 + 낡은 «다음» 절 폐쇄 (rustjava-upstream-sync-s5-java12-api)
 - 무엇을: 티켓이 요구한 S5(`c4665b0`) 동기화는 **이미 착지돼 있었다** — `c4665b0` 은 `origin/main` 의 조상이고
   PR #21 이 `rustjava-upstream-sync-s5-with-remeasured-conflicts` 로 2026-09-03 에 `--merge` 착지했다(S6~S8 도 완주 ·

STATE.md

@@ -4,6 +4,25 @@
 (없음 — 2026-09-11 실측: 진행 티켓 0 · 열린 PR 0. ※「열린 PR 0」은 ★**이 PR(#35) 착지 시점 기준**이다 — 회신 시점에는 #35 자신이 열려 있다)
 
 ## 완료
+- [rustjava-null-guard-string-init-and-arraycopy-p0] ★★**null 인자 8경로의 «호스트 abort» 를 `NullPointerException` 으로 바꿨다.**
+  채택 제안 `2026-09-11-s5-duplicate-issuance-stale-next-close#p0`. ★**가드 9곳**(`string.rs` 7 · `system.rs` 2) · 픽스처 `test-data/NullArgGuards` 9케이스.
+  ★**제안은 「8경로」라 했는데 실측은 «9곳»이다** — `System.arraycopy` 가 `src`·`dest` **둘 다** 뚫려 있었고(제안·STATE ③-2 는 `src` 만 셌다) 그 둘은 다른 인자다.
+  ★**대가 = 없음에 가깝다**(제안 문면 그대로 물려받되 재확인): upstream 관용구(진입부 `is_null()`)를 그대로 썼고 **삽입만**(`--numstat` 삭제행 **0** · 치환 아님) ·
+  ★**의미 변경 0** — 가드 «앞»에서 패닉하던 입력만 예외로 바뀐다(정상 입력은 도달 경로가 동일).
+  ★★**개악 대조로 공허하지 않음을 증명했다** — 가드 전건 되돌리면 `test_class` **FAILED**
+  (`called Option::unwrap() on a None value` at `jvm/src/class_instance.rs:108` = STATE ② 가 지목한 `ClassInstanceRef::deref` 그 자리) ↔ 가드 복원 시 **ok**.
+  ★`cargo test --all` **554 / 0 / 1** — ★**증감 0 이고 그것이 맞다**: `test_class` 는 픽스처를 «한 테스트 함수»가 순회하므로 픽스처가 늘어도 계수는 불변이다.
+  ★**픽스처 컴파일 = `javac --release 8`**(major **52** = 기존 픽스처와 동일 · ★`invokedynamic`·CP 태그 15~18 **0건** — javac 9+ 함정을 피했다).
+  ★**컴파일은 «스크래치»에서 했다** — `test-data/` 에서 치면 그 디렉터리의 `Exception.class` 가 `java.lang.Exception` 을 **가려** compile error 가 난다(실측).
+  ⇒ ★**STATE ③-2 의 「유효 잔존 2건」이 닫혔다** · ②의 «가드 없음 7건» 표도 전건 닫혔다.
+  ★**게이트③ 착지 — PR #36 · `--merge`**(등재 repo · 스쿼시는 부모 2개를 1개로 접어 계보를 지운다).
+  게이트② **1회차 approve**(반려 0) · 핀 `9ba6db48` **불이동**(동봉 전 실측) · `ci-presence` **rc=0 CI_GREEN** ·
+  자식 PR **0건** · 착지 diff 9파일(`.rs` 2 · 픽스처 3 · 원장 4) · ★**배포 워크플로 0개 ⇒ 배포 0**.
+  ★★**검수자가 «자기 자리»에서 개악을 다시 쟀고, 회차보다 강한 결과를 냈다** — 가드를 **1개씩** 빼도 픽스처가 문다
+  (A: `system.rs` `dest` 만 제거 → `class_instance.rs:114` `DerefMut` · B: `init_with_string_buffer` 만 제거 → `:108` `Deref`).
+  ⇒ ★**위 본문이 `:108` 을 유일 지점처럼 인용한 것은 부정확하다 — 축이 둘(`Deref`/`DerefMut`)이다**(검수 minor · 문면은 사료로 보존).
+  ★검수 부수 실측 1건: `ClassInstanceRef` 인자를 받는 fn **899개 중 560개**가 그 인자에 `is_null()` 가드가 없다(★**상한값** — 대부분 null 이 안 닿거나 deref 하지 않는다)
+  ⇒ 후속 `rustjava-null-guard-audit-remaining-runtime-entrypoints`(P3)의 「열거가 아니라 세는 것」에 **근거가 생겼다**.
 - [rustjava-upstream-sync-s5-java12-api] ★★**중복 발권 판정 — S5 는 «이미 착지»다(대전제 ⓒ 경로 · `status: blocked`).**
   실측(2026-09-11): `c4665b0` 은 `origin/main` 의 **조상** · PR #21 **MERGED**(2026-09-03T22:12:43Z · 머지커밋 `a0b5d3c`) —
   같은 일을 `rustjava-upstream-sync-s5-with-remeasured-conflicts` 가 이미 완주했다. S6(#22)·S7(#23)·S8(#24)도 착지해
@@ -426,8 +445,8 @@ green 전건 rc=0 · `cargo test --all` **261 passed / 0 failed / 1 ignored**(S3
 | `ByteArrayInputStream.<init>([B)` null 가드 | `is_null()` 가드 존재(`be77dc6`) | **삼킴 → 무효** |
 | `Class.forName` null/not-found 가드 | 둘 다 존재 | **삼킴 → 무효** |
 | `Integer.byteValue()/shortValue()` | `java/lang/Number` 가 **구현 제공**, Integer 가 상속(`#176`) | **삼킴 → 무효** |
-| `System.arraycopy` null 가드 | **부재** | ★**유효 잔존** |
-| `String.<init>([B)` / `([C)` null 가드 | **부재** | ★**유효 잔존** |
+| `System.arraycopy` null 가드 | ~~**부재**~~ → ★**해소**(`src`·`dest` **둘 다** · 2026-09-11) | ~~유효 잔존~~ → **닫힘** |
+| `String.<init>([B)` / `([C)` null 가드 | ~~**부재**~~ → ★**해소**(아래 7건 전부 · 2026-09-11) | ~~유효 잔존~~ → **닫힘** |
 
 ★유효 잔존 2건의 **파괴력 근거**(추정 아님): `ClassInstanceRef::deref` 가
 `self.instance.as_ref().unwrap()` 이라 **null 참조를 넘기면 Rust 패닉 = 호스트 프로세스 abort**다
@@ -471,7 +490,10 @@ green 전건 rc=0 · `cargo test --all` **261 passed / 0 failed / 1 ignored**(S3
 
 1. ~~`rustjava-upstream-sync-s5` … `-s7`~~ → ★★**[2026-09-11] 해소 — S5~S8 전건 착지**(① 참조).
    ★**발권하지 마라** — 2026-09-11 에 실제로 중복 발권됐다(`rustjava-upstream-sync-s5-java12-api` · blocked).
-2. **`rustjava-null-guard-string-init-and-arraycopy`**(P2·S·low) — ②의 유효 잔존 2건 + 형제 전수.
+2. ~~`rustjava-null-guard-string-init-and-arraycopy`~~ → ★★**[2026-09-11] 해소 — `…-p0` 로 착수해 가드 9곳 + 픽스처 9케이스로 닫았다**(완료 절 참조).
+   ★**발권하지 마라.** ★아래 범위 서술은 **사료**다 — 단 ★**「가드 없음 7건」은 «8곳»이었다**: `System.arraycopy` 의
+   `dest` 가 `src` 와 **별개로** 뚫려 있었고 이 절이 그것을 «1건»으로 셌다. 다음에 이런 표를 쓸 땐 **인자 단위로** 세라.
+   ---- 이하 사료 ----
    ★**①의 뒤**여야 한다 — ★**근거 정정(2026-08-16)**: 선행 이유는 **`string.rs` 가 충돌 목록에 있기 때문**이다.
    ★**`system.rs` 는 충돌 목록에 «없다»**(`merge-tree` 출력에서 `Auto-merging` 만 있고 `CONFLICT` 줄이 없다) —
    구판이 두 파일 다 충돌이라고 적은 것은 오류이니 **충돌 해소 대상으로 잡지 마라.**

docs/worklog/2026-09-11-null-guard-string-init-and-arraycopy.json

@@ -0,0 +1,40 @@
+{
+  "schema": 1,
+  "date": "2026-09-11",
+  "title": "null 인자 9경로에 진입부 is_null() 가드 — 호스트 abort 를 NullPointerException 으로",
+  "services": ["RustJava"],
+  "taskId": "rustjava-null-guard-string-init-and-arraycopy-p0",
+  "summary": "ClassInstanceRef::deref 가 self.instance.as_ref().unwrap() 이라 null 이 닿으면 Rust 패닉 = 호스트 프로세스 abort 였다. String.<init> 오버로드 10건 중 ([CII)·(II[C) 만 가드가 있고 [B 계열은 전부 뚫려 있던 «짝이 안 맞는» 상태를, upstream 관용구(진입부 is_null())로 9곳 닫았다 — string.rs 7 + system.rs 의 arraycopy src·dest 2. 회귀 잠금은 픽스처 test-data/NullArgGuards 9케이스다. ★제안·STATE ③-2 의 「8경로」는 실측 «9곳»이다: arraycopy 는 src 와 dest 가 각각 뚫려 있었는데 그 표가 1건으로 셌다. ★양방향 검증 — 가드를 전건 되돌리면 test_class 가 FAILED(Option::unwrap() on None at jvm/src/class_instance.rs:108) 이고 복원하면 ok 라 픽스처가 공허하지 않다. cargo test --all 은 554/0/1 로 증감 0 인데 그것이 맞다 — test_class 는 test-data/ 를 한 테스트 함수가 순회하므로 픽스처가 늘어도 계수는 불변이다.",
+  "changes": [
+    "rustjava-runtime/src/classes/java/lang/string.rs — <init> 7개 오버로드에 진입부 value.is_null() 가드(삽입만 · 21행 · 삭제 0)",
+    "rustjava-runtime/src/classes/java/lang/system.rs — arraycopy 의 src·dest 각각에 가드(삽입만 · 7행 · 삭제 0)",
+    "test-data/src/NullArgGuards.java + test-data/NullArgGuards.class + test-data/NullArgGuards.txt — 9케이스 회귀 픽스처",
+    "STATE.md — ② 표의 «유효 잔존 2건» 닫힘 표시 · ③-2 항목 해소 + 「7건」 계수 정정 · 완료 절 항목 추가",
+    "REPORT.md — 2026-09-11 회차 항목"
+  ],
+  "verification": [
+    "정상 → green: cargo test --test test_class ok · cargo fmt --check rc=0 · clippy stable/beta/wasm32 rc=0 · cargo test --all 554 passed / 0 failed / 1 ignored · check-worklog-json.py rc=0 · check-dod-ci-parity.py rc=0",
+    "개악 → red: 가드 9곳을 전건 되돌린 상태에서 cargo test --test test_class 가 FAILED — called Option::unwrap() on a None value at jvm/src/class_instance.rs:108 (STATE ② 가 파괴력 근거로 지목한 바로 그 자리)",
+    "픽스처 형식: javac --release 8 ⇒ major 52(기존 픽스처와 동일) · invokedynamic/CP 태그 15~18 0건 · NullPointerException 이 FQN 으로 20회 박힘"
+  ],
+  "issues": [
+    "★[게이트③ 집행] PR #36 을 --merge 로 착지시켰다(upstream-sync 등재 repo — 스쿼시는 부모 2개를 1개로 접어 계보를 지운다: #11·#13·#16·#17 4회 실증). 게이트② 1회차 approve(반려 0) · 핀 9ba6db48 불이동(원장 동봉 «전» 실측) · ci-presence rc=0 CI_GREEN · 자식 PR 0건 · 착지 diff 9파일이고 이 저장소의 배포 워크플로는 0개 ⇒ 배포 0 · upstream 쓰기 0.",
+    "★[검수 minor · 정정] 이 워크로그와 REPORT/STATE 가 패닉 지점을 jvm/src/class_instance.rs:108 «하나»로 인용했는데 축이 둘이다 — arraycopy dest 축은 :114 의 DerefMut(self.instance.as_mut().unwrap()) 이고 나머지는 :108 의 Deref 다. 검수자가 가드를 1개씩만 빼는 개악 2건(A: system.rs dest · B: init_with_string_buffer)으로 각각 재현했다. ⇒ :108 을 유일 지점으로 인용하지 마라. 실질 차이는 없다(같은 타입의 짝 impl).",
+    "★[검수 부수 실측] rustjava-runtime/src 크루드 스캔 — this 외 ClassInstanceRef 인자를 받는 fn 899개 중 560개가 그 인자에 is_null() 가드가 없다. ★상한값이다(대부분 null 이 닿지 않거나 deref 하지 않는다) ⇒ proposals[0] 의 「열거가 아니라 세는 것」 요구에 근거가 생겼다.",
+    "이 회차는 STATE ② 가 «열거한» 범위만 닫았다 — 같은 형태(ClassInstanceRef 를 받아 곧장 deref 하는 진입점)가 런타임 전체에 몇 개 남았는지는 세지 않았다. 처분 = proposals[0].",
+    "픽스처를 test-data/ 안에서 컴파일하면 그 디렉터리의 Exception.class 가 java.lang.Exception 을 가려 compile error 가 난다(실측) — 스크래치에서 쳐서 복사해야 한다. 이 맥에는 시스템 JDK 가 없어 /opt/homebrew/opt/openjdk/bin/javac(26.0.1)를 썼다."
+  ],
+  "proposals": [
+    {
+      "title": "rustjava-null-guard-audit-remaining-runtime-entrypoints",
+      "plainSummary": "런타임 전체에서 ClassInstanceRef 인자를 받아 곧바로 역참조하는 진입점이 몇 개나 남았는지 «세고», 그중 null 이 닿을 수 있는 자리에 같은 가드를 넣는다.",
+      "userBenefit": "이번에 막은 9곳 말고도 같은 방식으로 에뮬레이터를 죽일 수 있는 자리가 남아 있는지 알게 된다.",
+      "why": "이번 회차의 범위는 2026-08-16 에 손으로 열거한 표였고, 그 표 자신이 arraycopy 의 dest 를 빠뜨렸다(1건으로 셈). ⇒ 열거가 아니라 «세는 것»이 필요하다. 먼저 세고 그 수를 보고 나서 고칠 범위를 정한다.",
+      "tradeoff": "가드마다 3줄이 늘고, null 이 원리적으로 닿지 않는 자리에 넣으면 죽은 코드가 된다 ⇒ 세는 것이 먼저이고 일괄 삽입은 답이 아니다.",
+      "effort": "M(감사가 대부분 · 수를 본 뒤 범위 결정)",
+      "target": "RustJava rustjava-runtime 전체"
+    }
+  ],
+  "adoptedProposals": ["2026-09-11-s5-duplicate-issuance-stale-next-close#p0"],
+  "declinedProposals": []
+}

docs/worklog/2026-09-11-null-guard-string-init-and-arraycopy.md

@@ -0,0 +1,34 @@
+# 2026-09-11 — null 인자 9경로에 가드 (호스트 abort → NullPointerException)
+
+채택 제안 `2026-09-11-s5-duplicate-issuance-stale-next-close#p0`.
+
+`ClassInstanceRef::deref` 는 `self.instance.as_ref().unwrap()` 이라 null 이 닿으면 **Rust 패닉 = 호스트
+프로세스 abort** 다. `String.<init>` 오버로드 10건 중 `([CII)`·`(II[C)` 만 가드가 있었고 `[B` 계열은 전부
+뚫려 있었다 — ★**가드가 «짝이 안 맞는» 것**이 이 결함의 형태였다.
+
+## 한 일
+- 진입부 `is_null()` 가드 **9곳**(upstream 관용구 그대로):
+  `string.rs` **7** — `([B)` · `([C)` · `([BII)` · `([BLjava/lang/String;)` · `([BIILjava/lang/String;)` ·
+  `(Ljava/lang/String;)` · `(Ljava/lang/StringBuffer;)`
+  `system.rs` **2** — `arraycopy` 의 `src` · `dest`
+- 픽스처 `test-data/NullArgGuards.{java,class,txt}` — 9케이스, 전부 `caught NPE` 기대.
+
+## 제안과 갈린 점
+제안·STATE ③-2 는 **「8경로」**라 했는데 실측은 **9곳**이다. `System.arraycopy` 는 `src` 와 `dest` 가
+**각각** 뚫려 있었고 그 표가 그것을 1건으로 셌다. ⇒ 인자 단위로 세면 9다.
+
+## 검증 — 양방향
+- **정상 → green**: `cargo test --test test_class` **ok** · DoD 7종 rc=0 · `cargo test --all` **554/0/1**.
+  ★계수가 안 늘어난 것이 맞다 — `test_class` 는 `test-data/` 를 **한 테스트 함수**가 순회한다.
+- **개악 → red**: 가드 전건 되돌리면 `test_class` **FAILED** —
+  `called Option::unwrap() on a None value` at `jvm/src/class_instance.rs:108` ⇒ ★**픽스처가 공허하지 않다.**
+
+## 픽스처 컴파일 메모 (다음 사람용)
+- `javac --release 8` 로 친다 → major **52**, 기존 픽스처와 동일. ★`invokedynamic`·CP 태그 15~18 **0건**
+  (javac 9+ 는 문자열 `+` 만으로도 invokedynamic 을 내는데 이 파서는 아직 못 읽는다 — STATE ④).
+- ★**`test-data/` 안에서 컴파일하지 마라** — 그 디렉터리의 `Exception.class` 가 `java.lang.Exception` 을
+  **가려** `incompatible types: Exception cannot be converted to Throwable` 로 죽는다(실측). 스크래치에서 쳐서 복사한다.
+- 이 맥에는 시스템 JDK 가 없다. `/opt/homebrew/opt/openjdk/bin/javac`(26.0.1)를 썼다.
+
+## 제안
+- p0: 런타임 전체의 남은 `ClassInstanceRef` 직접 deref 진입점 감사 — 이 회차는 STATE ② 가 **열거한 범위만** 닫았다.

rustjava-runtime/src/classes/java/lang/string.rs

@@ -258,6 +258,9 @@ impl String {
     async fn init_with_byte_array(jvm: &Jvm, _: &mut RuntimeContext, this: ClassInstanceRef<Self>, value: ClassInstanceRef<Array<i8>>) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let count = jvm.array_length(&value).await? as i32;
 
         let _: () = jvm
@@ -275,6 +278,9 @@ impl String {
     ) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let count = jvm.array_length(&value).await? as i32;
 
         let _: () = jvm
@@ -364,6 +370,9 @@ impl String {
     ) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?}, {offset}, {count})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let bytes: Vec<i8> = jvm.load_array(&value, offset as _, count as _).await?;
 
         let charset = System::get_charset(jvm).await?;
@@ -388,6 +397,9 @@ impl String {
     async fn init_with_string(jvm: &Jvm, _: &mut RuntimeContext, this: ClassInstanceRef<Self>, value: ClassInstanceRef<Self>) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let (original_value, offset, count) = Self::value_range(jvm, &value).await?;
         let length = jvm.array_length(&original_value).await?;
 
@@ -417,6 +429,9 @@ impl String {
     ) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let string: ClassInstanceRef<Self> = jvm
             .invoke_virtual(&value, "java/lang/Object", "toString", "()Ljava/lang/String;", ())
             .await?;
@@ -888,6 +903,9 @@ impl String {
     ) -> Result<()> {
         tracing::debug!("java.lang.String::<init>({this:?}, {value:?}, {charset_name:?})");
 
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
         let count = jvm.array_length(&value).await? as i32;
 
         let _: () = jvm
@@ -917,6 +935,9 @@ impl String {
         if charset_name.is_null() {
             return Err(jvm.exception("java/lang/NullPointerException", "charsetName is null").await);
         }
+        if value.is_null() {
+            return Err(jvm.exception("java/lang/NullPointerException", "value is null").await);
+        }
 
         let bytes: Vec<i8> = jvm.load_array(&value, offset as _, count as _).await?;