上一页我们让指针指向函数——这背后其实藏着一个更基本的事实：函数也有地址。今天我们顺着这条线往回追问一次：指针这个东西，到底能指向哪些东西？

上一页说指针可以指向函数，但「能」不等于「值得」。真正的问题是：什么场景下必须把函数当数据来传？三个核心用途：回调、动态分发、抽象接口。

上一页我们谈了为什么要让指针指向函数——回调、跳转表、动态行为。光有动机还不够，编译器必须先知道：我要指向的函数长啥样。

一段 C 代码逐符号拆解 `int (*pf)(int, int)` 的声明，并展示调用方式。

L7 是核心：`int` 返回值、(*pf) 强调 pf 是指针、(int,int) 是参数列表。L10-L12 展示赋值与两种等价调用写法。

写法相似但身份完全不同：原型声明函数，指针声明装着函数地址的变量。

前面几页我们写声明、画括号，把类型对齐了。现在直接问：调用处写 func，编译器拿到的是函数本身，还是它的地址？

从定义函数到通过指针调用，一段最小可运行代码完整跑通四个步骤。

L8 声明一个空指针 fp；L9 把函数名 add 这个地址塞进去，指针"有内容"；L10 用 fp(3,4) 即可调用，效果和 add(3,4) 完全一样——这是赋值与调用的完整闭环。

运行结果说明：(*pf)(3,4) 和 pf(3,4) 输出完全相同。

函数调用运算符 () 本就自带解引用，所以 * 是冗余但合法的——编译器把两者当成一回事。

左侧用户代码，右侧库代码。重点看 l4→u3 那根"回"字箭头——库通过存贮的指针，把控制权反向交还用户。

用 qsort 把整型数组降序排：自定义比较器作为函数指针传入。

qsort 第四参期待特定函数指针类型，cmp_desc 签名匹配后函数名自动 decay 成指针传入——这正是回调的本质：把比较规则从算法骨架里"挖"出来交给调用方。

用状态编号索引函数指针数组，依次执行三个状态处理函数，展示状态机的分发表。

table[state] 先按当前状态选中函数，再调用并取得新状态；数组下标同时负责选择处理函数和驱动状态转移。

前面学了用指针调用函数。现在反过来：函数本身能不能返回一个指针？很多场景下函数不直接给出值，而是返回一个『地址』让调用者自己取——比如 malloc、字符串查找函数。

三个返回指针的合法姿势：静态常量、堆分配、调用者传入的缓冲区。

返回值有合法归宿——静态区永生、堆上 malloc/free 配对、或者就是调用者自己那块地皮。共同点：函数返回时那块内存还活着。

用一段经典错误代码看：返回栈上变量地址后会发生什么。

函数结束后栈帧立即回收，&local 成了悬空地址；继续解引用 *p 即触发未定义行为。

函数可以返回「值」也可以返回「指针」，对大对象而言差异显著——性能、所有权、失败表达都不一样。

把函数指针数组与回调合在一起：一个循环跑完四则运算。

typedef 让声明变干净、数组把函数捆成一捆、回调参数把『何时调用』交给被调方——三者组合即可替代一连串 if/else。

函数返回其内部局部变量的地址，调用方用这个指针访问时会怎样？

三个开放问题，探讨函数指针的深层边界