本文提出了一种名为 dfence 的新型 CPU 指令，旨在以硬件-软件协同的方式高效缓解推测执行攻击（如 Spectre-PHT 和 Spectre-STL）。现有的软件缓解方案（如 Speculative Load Hardening, SLH）虽能有效抵御 Spectre-PHT，但需要软件维护推测掩码，既容易出错又带来额外开销；而针对 Spectre-STL 的防御（如 SSBD 位）缺乏细粒度控制且性能损耗明显。dfence 通过极少量的硬件支持，泛化了 SLH 的思想，使开发者能够对敏感寄存器进行注释标注，硬件则确保这些值不会在瞬态执行中被泄露。作者在 Proteus CPU 中实现了 dfence，并进行了安全性和性能评估，实验显示平均性能开销小于 1%。此外，为了便于安全采用，作者设计了一个类型系统，能够静态验证代码中 dfence 指令放置的正确性，从而减少人工标注带来的错误风险。这项工作为处理器微架构安全提供了一种新的硬件-软件协同设计思路，特别适合计算机体系结构、系统安全和编译器方向的研究者与实践者参考。本文为扩展版本，但当前仅基于摘要进行分析，未包含完整实验细节。