V8エンジンのEnvironment Record：let/constとvarのメモリレイアウト比較
JavaScriptエンジンの内部構造に踏み込むことなく大規模なコードベースを設計することは、燃料噴射のメカニズムを知らずに高性能なF1マシンをチューニングするようなものだ。とりわけV8エンジンがメモリ空間上で変数をどのように扱い、JITコンパイラがスコープをどう解釈しているかというレイヤの理解は、シニアエンジニアやセキュリティリサーチャーにとって必須の教養である。
今回は、日頃何気なく使っている `var` と `let`/`const` の宣言が、V8エンジンのメモリレイアウト（ヒープとスタック／スコープオブジェクト）にどのような物理的違いをもたらすのか、そしてそれが実行時パフォーマンスやセキュリティ境界にどう影響するのかを解き明かす。
—
1. 変数宣言の裏側：Environment Recordの正体
ECMAScript仕様において、変数のスコープや束縛（Binding）を管理する抽象概念が Environment Record（環境レコード） である。V8（IgnitionインタプリタおよびTurboFanコンパイラ）において、この概念はC++のクラス階層として具現化されている。
スコープは単なる抽象的な入れ子構造ではなく、V8のヒープ上あるいは実行コンテキストのスタックフレーム上に構築される物理的なデータ構造だ。
`var` の関数スコープと動的ヒープ割り当て
`var` は関数スコープを持ち、巻き上げ（Hoisting）によって関数実行の開始時に `undefined` で初期化される。
V8の内部において、`var` による変数はしばしばContext（文脈オブジェクト）と呼ばれるヒープ上の構造体に割り当てられる。
特に、クロージャ（Closure）が関与する場合、その関数がスコープ外から参照される可能性があるため、V8は変数をスタック上に置くことができない。結果として、変数はヒープ上の `Context` オブジェクトのプロパティとして確保される。
function createCounter() {
var count = 0; // この count はヒープ上の Context オブジェクトに配置される
return function() {
return ++count;
};
}
const counter = createCounter();
console.log(counter()); // 1
この時、V8のヒープ内では `count` は動的なオブジェクトプロパティと同様に扱われ、ガベージコレクタ（GC）の管理下に入る。動的なプロパティアクセスは、後述する `let`/`const` の最適化されたスロットアクセスに比べて、オーバーヘッドが大きくなる要因となる。
—
2. `let` と `const` がスタックおよび最適化スコープに配置される仕組み
現代のJavaScriptエンジン、特にV8において、`let` と `const` の導入は単に「ブロックスコープの提供」にとどまらず、メモリレイアウトの静的最適化をもたらした。
1. 宣言的環境レコード（Declarative Environment Record）とスロット割り当て
`let` や `const` はブロックスコープ（Block Scope）を持ち、巻き上げは起きるものの、Temporal Dead Zone（一時的死地：TDZ）という厳格な防壁によって初期化前のアクセスが遮断される。
V8のコンパイラ（Ignition）は、パース段階で静的解析を行い、ブロック内の `let`/`const` 変数がヒープに逃げる（Escape）必要がないと判断した場合、それらをヒープ上の重いContextオブジェクトではなく、実行スタックフレーム内のローカル変数スロット（Local Variable Slots）、あるいはスコープ内の固定オフセット領域に直接配置する。
function processTransaction(amount) {
// 以下の const/let はスタック上の固定スロットに最適化配置される可能性が高い
const TAX_RATE = 0.1;
let total = amount (1 + TAX_RATE);
if (total > 1000) {
let discount = 50;
total -= discount;
}
return total;
}
このコードにおいて、`TAX_RATE` や `total` はヒープを肥大化させることなく、CPUレジスタやスタック領域に近いメモリ空間で高速に読み書きされる。
2. イミュータビリティとTurboFanの最適化
`const` は、単に「再代入を防ぐ文法上の制約」ではない。V8のJITコンパイラ（TurboFan）にとって、`const` は「この値はライフサイクルを通じて変化しない（Constants Folding / Scalar Replacementの対象）」という強力な最適化ヒント（Assertion）として機能する。
TurboFanは、`const` で宣言されたプリミティブ値や不変の参照を、機械語の生成時にハードコード（インライン展開）することが可能になる。これにより、メモリからのロード命令自体が消滅し、CPUの実行パフォーマンスが極限まで高まる。
—
3. メモリレイアウトの比較：Var vs Let/Const
V8の内部表現における両者の違いを、物理的なメモリレイアウトの観点から比較する。
| 特性項目 | `var` (関数スコープ / クロージャ内) | `let` / `const` (ブロックスコープ / 最適化コンテキスト) |
| :— | :— | :— |
| 格納場所 | ヒープ上の `Context` オブジェクト (動的) | スタックフレーム / 最適化されたスコープスロット (静的) |
| 初期化挙動 | 巻き上げ時に `undefined` で即座に初期化 | 巻き上げはするがTDZにより初期化までアクセス不能 |
| ガベージコレクション | ヒープ割り当てのためGCの追跡対象（負荷増） | スコープ脱出時にスタックごと破棄（GC負荷ゼロ） |
| JIT最適化 (TurboFan)| プロパティアクセスとして扱われ、隠しクラスの変更リスクあり | 定数畳み込みやレジスタ割当の強力なターゲット |
—
4. セキュリティ・サプライチェーンの深層：プロトタイプ汚染とランタイムの防壁
メモリレイアウトとスコープの挙動を深く理解することは、高度なセキュリティ脆弱性、特にプロトタイプ汚染（Prototype Pollution）や、それに起因するリモートコード実行（RCE）のメカニズムを看破する上で不可欠である。
プロトタイプ汚染の脅威
Node.js環境などのサプライチェーン攻撃において、不適切なオブジェクトのマージ処理（深部マージ関数など）が突かれると、`Object.prototype` が書き換えられる。
// 脆弱なマージ処理の例
function unsafeMerge(target, source) {
for (let key in source) {
if (typeof source[key] === ‘object’ && source[key] !== null) {
if (!target[key]) target[key] = {};
unsafeMerge(target[key], source[key]);
} else {
target[key] = source[key];
}
}
}
// 攻撃者が外部入力から以下のようなペイロードを送り込む
const payload = JSON.parse(‘{“__proto__”: {“polluted”: “RCE_VULNERABILITY”}}’);
unsafeMerge({}, payload);
// すべてのオブジェクトに汚染が伝播する
console.log({}.polluted); // “RCE_VULNERABILITY”
なぜ `const`/`let` とスコープの理解が防壁になるのか？
V8エンジンは、オブジェクトのプロパティアクセスを高速化するために隠しクラス（Hidden Classes / Maps）やインラインキャッシュ（Inline Caches: IC）を使用する。プロトタイプが汚染されると、既存のオブジェクトのMap構造が無効化され、V8はすべてのプロパティルックアップを「辞書モード（Dictionary Mode）」にフォールバックさせる。
これにより、アプリケーション全体のCPU使用率が急上昇し、DoS（サービス妨害）状態に陥るだけでなく、動的なプロパティ解決の隙を突いた型混同（Type Confusion）やコードインジェクションの温床となる。
一方で、適切にスコープされた `const` 変数や、クロージャに依存しないブロックスコープ内のローカル変数（スタック上のスロットに配置されたもの）は、グローバルなプロトタイプチェーンの汚染の影響を直接受けない。なぜなら、それらはオブジェクトのプロパティルックアップを経由せず、直接メモリアドレス（またはレジスタ）を指しているからだ。
セキュアなコードを書くとは単にバリデーションを入れることではなく、V8ランタイムの最適化機構を信頼し、グローバルやヒープに依存しない「スタック・クロージャ汚染耐性の高いスコープ設計」を貫くことに他ならない。
—
結びにかえて
JavaScriptは「動的言語」という一言で片付けられがちだが、V8をはじめとする現代のランタイムは、静的解析とJITコンパイルによってC/C++に匹敵する速度領域に到達している。
`let` や `const` を適切に使い分け、ブロックスコープの恩恵を最大限に引き出すことは、コードの可読性を上げるだけでなく、V8エンジンのメモリレイアウトを最適化し、ガベージコレクションの負荷を減らし、さらにはプロトタイプ汚染などのモダンな攻撃ベクトルに対する堅牢な防壁となる。
ランタイムの鼓動を感じ取れ。コードの1行が、V8のヒープとスタックをどう揺らすか。そのイメージを持てる者だけが、真に堅牢で最高パフォーマンスを発揮するアプリケーションを構築できる。