ES6 中 Proxy 的 getPrototypeOf 陷阱是怎么回事?

[Sparetire]

如下代码

function Test() {
}

const a = new Proxy({}, {
	getPrototypeOf() {
		return Array.prototype;
	}
});

console.log(a instanceof Array); // true

const b = new Proxy({}, {
	getPrototypeOf() {
		return Test.prototype;
	}
});

console.log(b instanceof Test); // false
console.log(b instanceof Test); // true
console.log(b instanceof Test); // true

为什么 a, b 两个的结果完全不一样, 原生类和我自己定义的类难道有什么区别?

而对于后面两个结果, 难道 getPrototypeOf 存在副作用?

另一个例子如下

class Test {}

const a = new Proxy({}, {
	getPrototypeOf() {
		return Array.prototype;
	}
});

console.log(a instanceof Array); // true

const b = new Proxy({}, {
	getPrototypeOf() {
		return Test.prototype;
	}
});

console.log(b instanceof Test); // true
console.log(b instanceof Test); // true
console.log(b instanceof Test); // true

如果把函数换成 class, 则出现了预期之中的结果, 但是 js 中 class 不是仅仅是语法糖吗? 为什么会有这样的区别?

补充环境
Node v10.15.1 64bit 和 Chrome 73.0.3683.86 复现
FF 66.0.1 64bit 则全都是 true, 符合预期

再补充下, 使用 Object.getPrototypeOf() 则结果都符合预期, 出问题的只有 instanceof

function Test() {
}

const a = new Proxy({}, {
	getPrototypeOf() {
		return Array.prototype;
	}
});

console.log(Object.getPrototypeOf(a) === Array.prototype); // true

const b = new Proxy({}, {
	getPrototypeOf() {
		return Test.prototype;
	}
});
console.log(Object.getPrototypeOf(b) === Test.prototype); // true
console.log(Object.getPrototypeOf(b) === Test.prototype); // true
console.log(Object.getPrototypeOf(b) === Test.prototype); // true

[jyz19880823]

这应该是 chrome 和 v8 的 bug 吧
至少 safari 和 firefox 都是好的

[Sparetire]

@jyz19880823 看起来的确是的...FF 下面的结果都是 true, 符合期望

[azh7138m]

v11.12 同复现，很有趣，也觉得是 v8 的 bug

[Sparetire]

@azh7138m 而且只有 instanceof 有这么个问题, Object.getPrototypeOf()就很正常...

[ayase252]

有趣的一点是如果在第一个例子 console.log(b instance of Test)之前加一行 Object.getPrototypeOf(b)之后又很正常。我倾向认为是引擎的 bug ？

[azh7138m]

这里的 b instanceof Test 等效于 Test[Symbol.hasInstance].call(Test, b)
Object.getPrototypeOf 则是取的[[Prototype]]
两者不同
具体的我不知道今天能不能看完

[Sparetire]

@ayase252 是的, 并且在下面这个例子中也会有区别
```javascript
function Test() {
return new Proxy({}, {
getPrototypeOf() {
return Test.prototype;
}
});
}

const a = Test();
console.log(a instanceof Test); // false

const b = new Test();
console.log(b instanceof Test); // true
```
然而同样 FF 中则都是 true, 所以也倾向于是引擎的 bug 吧
不过真是走狗屎运, 在生产上碰到这么个 bug...

[azh7138m]

https://www.ecma-international.org/ecma-262/9.0/#sec-proxy-object-internal-methods-and-internal-slots
MDN: handler.getPrototypeOf() method is a trap for the [[GetPrototypeOf]] internal method

那大概就是 Test[Symbol.hasInstance] 上面的处理有问题了（？）

https://www.ecma-international.org/ecma-262/9.0/#sec-function.prototype-@@hasinstance
https://www.ecma-international.org/ecma-262/9.0/#sec-ordinaryhasinstance

OrdinaryHasInstance
https://github.com/v8/v8/blob/4b9b23521e6fd42373ebbcb20ebe03bf445494f9/src/objects.cc#L835

我看不动了，大佬们继续吧 :(

[azh7138m]

顺便更正下我 6L 的结论

https://www.ecma-international.org/ecma-262/9.0/#sec-object.getprototypeof

所以 Object.getPrototypeOf(b) 并不是取的[[Prototype]]，而是 b.[[GetPrototypeOf]]()，所以结果都符合预期

[Sparetire]

@azh7138m
@ayase252
@jyz19880823
hax 大佬说这里是 V8 的一个 bug
https://www.zhihu.com/question/317137493?rf=317137501
So, 结帖

[MinonHeart]

v8 优化带来的额外 bug，这也不是一个两个了，之前有个 canvas 的 bug 至今没修。直接去 crbug 提交 bug

[Sparetire]

@MinonHeart 嗯，提交了