JSArray::canFastCopy() should fail if the source and destination arrays are the same.
authormark.lam@apple.com <mark.lam@apple.com@268f45cc-cd09-0410-ab3c-d52691b4dbfc>
Thu, 28 Sep 2017 04:19:13 +0000 (04:19 +0000)
committermark.lam@apple.com <mark.lam@apple.com@268f45cc-cd09-0410-ab3c-d52691b4dbfc>
Thu, 28 Sep 2017 04:19:13 +0000 (04:19 +0000)
https://bugs.webkit.org/show_bug.cgi?id=177584
<rdar://problem/34463903>

Reviewed by Saam Barati.

JSTests:

* stress/regress-177584.js: Added.
(assertEqual):
(Array.prototype.Symbol.species):

Source/JavaScriptCore:

If the source and destination arrays are the same, we may be copying overlapping
regions.  Hence, we need to take the slow path.

* runtime/JSArrayInlines.h:
(JSC::JSArray::canFastCopy):

git-svn-id: https://svn.webkit.org/repository/webkit/trunk@222598 268f45cc-cd09-0410-ab3c-d52691b4dbfc

JSTests/ChangeLog
JSTests/stress/regress-177584.js [new file with mode: 0644]
Source/JavaScriptCore/ChangeLog
Source/JavaScriptCore/runtime/JSArrayInlines.h

index f63ce00..eea3389 100644 (file)
@@ -1,3 +1,15 @@
+2017-09-27  Mark Lam  <mark.lam@apple.com>
+
+        JSArray::canFastCopy() should fail if the source and destination arrays are the same.
+        https://bugs.webkit.org/show_bug.cgi?id=177584
+        <rdar://problem/34463903>
+
+        Reviewed by Saam Barati.
+
+        * stress/regress-177584.js: Added.
+        (assertEqual):
+        (Array.prototype.Symbol.species):
+
 2017-09-27  Saam Barati  <sbarati@apple.com>
 
         Propagate hasBeenFlattenedBefore in Structure's transition constructor and fix our for-in caching to fail when the prototype chain has an object with a dictionary structure
diff --git a/JSTests/stress/regress-177584.js b/JSTests/stress/regress-177584.js
new file mode 100644 (file)
index 0000000..990dca7
--- /dev/null
@@ -0,0 +1,18 @@
+function assertEqual(actual, expected) {
+    if (actual != expected)
+        throw "Failed: actual: " + actual + ", expected: " + expected;
+}
+
+var a0 = [,,,,,,,,,,,,,];
+
+Array.prototype.constructor = {
+    [Symbol.species]: function() {
+        return a0;
+    }
+}
+
+var a1 = [1,2,3,4];
+var a2 = a1.concat(a0);
+
+assertEqual(a0, a2);
+assertEqual(a0, "1,2,3,4,1,2,3,4,1,2,3,4,1,2,3,4,1");
index e6af9a3..50e98d9 100644 (file)
@@ -1,3 +1,17 @@
+2017-09-27  Mark Lam  <mark.lam@apple.com>
+
+        JSArray::canFastCopy() should fail if the source and destination arrays are the same.
+        https://bugs.webkit.org/show_bug.cgi?id=177584
+        <rdar://problem/34463903>
+
+        Reviewed by Saam Barati.
+
+        If the source and destination arrays are the same, we may be copying overlapping
+        regions.  Hence, we need to take the slow path.
+
+        * runtime/JSArrayInlines.h:
+        (JSC::JSArray::canFastCopy):
+
 2017-09-27  Saam Barati  <sbarati@apple.com>
 
         Propagate hasBeenFlattenedBefore in Structure's transition constructor and fix our for-in caching to fail when the prototype chain has an object with a dictionary structure
index 45e90ef..76fe0f5 100644 (file)
@@ -58,6 +58,8 @@ inline IndexingType JSArray::mergeIndexingTypeForCopying(IndexingType other)
 
 inline bool JSArray::canFastCopy(VM& vm, JSArray* otherArray)
 {
+    if (otherArray == this)
+        return false;
     if (hasAnyArrayStorage(indexingType()) || hasAnyArrayStorage(otherArray->indexingType()))
         return false;
     // FIXME: We should have a watchpoint for indexed properties on Array.prototype and Object.prototype