今日三荐：进程内 SQL 数据库、可分支微虚拟机与嵌入式 WASM 沙箱

1. wasm3：约 10 KB 内存就能跑起来的 WASM 沙箱

为什么今天看

最值得拆的机制

• 解释器的形态是一串尾调用。 作者把 M3 的结构叫「元机器」：每个操作是一个签名固定的 C 函数，操作执行到最后直接调用下一个操作，整个解释器没有外层控制结构。程序计数器、栈指针、线性内存、整数寄存器、浮点寄存器分别落在真实 CPU 寄存器上（System V 约定下依次是 rdi、rsi、rdx、rcx、xmm0）。docs/Interpreter.md 里贴了对应的汇编，一条按位或操作编译出来只有五条指令，最后一句 jmpq *%rax 直接跳到下一个操作。文档承认这种写法在 70 年代叫 threaded code，作者是先把实现写出来才找到先例的。10
• 循环、陷阱和异常都靠回卷原生栈。 操作展开在原生栈上，执行因此不能一直向前跑：循环继续时，Continue 操作返回的是它要回卷到的循环地址；陷阱返回陷阱指针，效果是把整条栈解开；Wasm 异常走同一条返回路径，throw 把异常挂在运行时上再返回一个私有标记。10
• 省下来的体积是设计目标本身。 README 给的最小可用系统是约 64 KB 代码加约 10 KB 内存。1 作者解释为什么选解释器时点了两个场景：iOS 和 WebAssembly 自身都不允许在运行期生成可执行代码页，嵌入式设备也放不下编译产物。1 代价同样写得很直白：解释器文档给的数量级是比编译代码慢 4 到 15 倍，那组基准跑在 2014 年的 iMac 上，属于旧数据，看量级就够了。10
• 平台适配分目录管理。 platforms/ 下按目标各放一份适配，覆盖 Android、iOS、ESP32、Arduino、OpenWrt、树莓派这些环境；test/ 按 fuzz、lang、wasi、snapshot 分开。wasm3 还能编译成 WebAssembly 运行，并执行自己。1

复现难度：低

最小上手路径

# 取一个静态二进制并赋可执行权限
curl -L -o wasm3 https://github.com/wasm3/wasm3/releases/latest/download/wasm3-linux-x64.elf
chmod +x wasm3

# 看用法：默认入口是 _start 函数
./wasm3 --help

# 用 Rust 编一个 WASI 程序，再交给 wasm3 运行
cargo new --bin hello && cd hello
rustup target add wasm32-wasip1
cargo build --release --target wasm32-wasip1
../wasm3 ./target/wasm32-wasip1/release/hello.wasm

# 看一次计算花掉多少 gas
wasm3 --gas-meter --func fib test/lang/fib32.wasm 24

# 给一个预算，看它在哪一步被挡住
wasm3 --gas-limit 100 --func fib test/lang/fib32.wasm 24

版本动作

2. turso：把 SQL 数据库放进自己的进程

为什么今天看

最值得拆的机制

• SQL 先编译成字节码。 手册附录给了完整的调用链：cli/main 打开数据库拿到 Connection，Connection 把 SQL 交给 Parser，它用的是 lemon-rs，也就是 SQLite 解析器移植到 Rust 之后的分支，直接放在仓库里维护，解析出的 AST 交给 translate 生成 VDBE 程序，Statement::step() 再驱动这台虚拟机执行。15 有一条现成的观察手段：在 shell 里敲 EXPLAIN SELECT 'hello, world';，能看到一个六条指令的程序——Init 跳到 Transaction，Goto 跳到 String8 把常量写进寄存器 r[1]，ResultRow 取它作为结果，Halt 结束。15 这套字节码足够通用，有人拿它跑起了 Doom。16
• 代码生成有几条固定规则。 JOIN 子句先被改写成等价的 WHERE 子句，WHERE 映射成字节码循环，ORDER BY 让程序把结果行先送进排序器，GROUP BY 让程序把结果行先送进聚合函数。15 这四句话就是「一条查询怎么变成循环」最直接的说明。
• MVCC 借鉴的是 Hekaton。 Hekaton 是 2011 年公开的一套内存 MVCC 设计，手册引的是 Larson 等人的论文。所有连接共用一个内存中的 MVCC 索引：读的时候先查索引，查不到再从页缓存惰性读取，页缓存再去 WAL 和 SQLite 文件里取；写在事务执行期间全部落在内存索引里，提交时分两阶段落盘，先写页缓存，再把页缓存刷进 WAL。它和 Hekaton 有一处刻意的差别：刷进 WAL 之后不再保留逻辑变更记录，为的是兼容 SQLite 的文件格式。15 BEGIN CONCURRENT 就建立在这套机制上，也是它在写并发上比 SQLite 走得更远的地方。2
• 异步 I/O 写在函数签名里。 每次 I/O 由一个 Completion 跟踪，函数返回 IOResult：要么 Done，要么带回一批还没完成的 Completion。判断一个函数做不做 I/O，看签名就够了，几个 Completion 可以用 CompletionGroup 合成一个。文档把这种写法叫应用层的 function coloring：异步性写在类型里，再由调用方一处处传递下去。Linux 上这套 I/O 走的是 io_uring。215

复现难度：低

最小上手路径

# 安装 CLI（脚本来自 README，装的是最新正式版）
curl --proto '=https' --tlsv1.2 -LsSf \
  https://github.com/tursodatabase/turso/releases/latest/download/turso_cli-installer.sh | sh

# 进交互式 shell，默认是内存数据库
tursodb

# 建表、插数据、查回来
CREATE TABLE users (id INT, username TEXT);
INSERT INTO users VALUES (1, 'alice');
SELECT * FROM users;

# 把这句查询编译出的字节码打出来
EXPLAIN SELECT 'hello, world';

版本动作与限制

3. smolvm：把一台真虚拟机做成能嵌进程序的库

为什么今天看

最值得拆的机制

• 容器镜像，虚拟机边界。 起一台一次性机器只要一条命令，用完即删；默认给 4 个 vCPU 和 8 GiB 内存，内存靠 virtio balloon（按需向宿主机借还内存的气球驱动）伸缩，空闲的 vCPU 睡在 hypervisor 里，超配几乎不花代价。对照表里启动时间那一栏写的是 200 毫秒以内。3 README 的对照表把位置说得很清楚：容器的边界是命名空间加共享内核，QEMU 是一个进程，Colima 是共享的一台 VM，Firecracker 没有 macOS 原生支持，smolvm 站在「一个库，每份工作负载一台 VM，可在 macOS 上原生跑」这一格。3
• 分支是活机器的写时复制子机。 源机器用 --branchable 启动后，smolvm machine branch --from source --name child 会给它做一次检查点，再从同一个点起一台独立子机，子机带着源机器正在跑的进程、内存和磁盘继续跑。要一次分叉很多台就加上 --freeze-source，源机器停住，后续分支复用同一份检查点，磁盘叠层不会一层层堆上去。18 检查点抓的是 RAM、CPU 状态和磁盘，可以存成文件之后在别的机器上恢复，也可以用 --at '~N' 回退到更早的代数。318
• 「从哪里分叉、每个子机跑什么」写在负载里面。 负载自己调用 smolvm-branch-ready 标记分叉点，并声明每个子机该执行的程序；子机启动时，环境里已经带好 SMOLVM_BRANCH_NAME、SMOLVM_BRANCH_INDEX、SMOLVM_BRANCH_BATCH_ID、SMOLVM_BRANCH_BATCH_SIZE。18 并行实验这类需求因此可以只把准备步骤跑一次，后面每个子机都从同一个热状态开始。
• 内嵌时没有守护进程。 Node、Python、Rust 三种 SDK 装完就在你自己的进程里驱动机器，本地和云端共用一套 Machine API。3 机器还能打包成一个 .smolmachine 文件，推到任意 OCI registry，或者做成自包含的可执行文件。官方给的例子是把 python:3.12-alpine 打成一个可执行文件，./python312 run -- python3 --version 直接就能跑。3
• 安全模型把边界和权限分开写。 每个工作负载一台 VM 加独立内核是边界；网络默认关闭，打开之后可以用 --allow-host 或 --allow-host-pattern 限定到具体主机和通配子域；凭据替换让客户机里的代码只拿到一个占位符，真实密钥留在宿主机一侧。官方同时写明：客户机里的 root 按不可信处理，--volume 挂进去的目录和转发的 SSH agent 都属于显式授予的权限。319

复现难度：中

最小上手路径

curl -sSL https://smolmachines.com/install.sh | bash

# 一条命令起一台一次性机器，跑完即删
smolvm machine run --net --image alpine -- uname -a

# 交互式进去看一眼
smolvm machine run --net -it --image alpine -- /bin/sh

# 常驻一台，在里面装东西
smolvm machine create --net --name dev && smolvm machine start --name dev
smolvm machine exec --name dev -- apk add git

# 从活着的机器分叉出一台子机
smolvm machine start --name source --branchable
smolvm machine branch --from source --name child

版本动作与限制

怎么选今晚的第一条路径