压栈顺序是反向（从右往左）的，但正因为是反向压栈，所以第一个参数反而离栈顶（ESP）最近。

触及了汇编语言中“压栈方向”与“内存增长方向”最容易混淆的地方。

结论先行：你是对的，压栈顺序是反向（从右往左）的，但正因为是反向压栈，所以第一个参数反而离栈顶（ESP）最近。

为了让你彻底理解，我们拆解一下Call发生时栈内部到底发生了什么：

1. 压栈的过程 (从右往左)

假设 VB6 执行sum(a, b)，在汇编层面，stdcall约定会按照代码中参数从右到左的顺序进行PUSH：

1. PUSH [Sum_result 地址]：这是隐藏的最后一个参数（用于接收返回值）。

2. PUSH [b 的地址]：这是ByRef b。

3. PUSH [a 的值]：这是ByVal a。

4. PUSH [vb6_class_this]：这是隐藏的第一个参数（this指针）。

5. CALL [函数地址]：执行CALL的瞬间，CPU 会自动把返回地址压入栈顶。

2. 内存布局 (执行时的状态)

由于栈在 x86 架构中是向低地址增长的（即越晚PUSH的数据，内存地址越小），所以当函数代码的第一行开始执行时，栈顶指针ESP指向的是最后进入的“返回地址”。

我们来看内存中的排列（假设当前ESP是0x1000）：

总结口诀：越是函数签名里靠左（前面）的参数，越是晚压栈，也就离栈顶越近。

3. 修改跳板逻辑的验证

因为我们要修改的是第一个参数 vb6_class_this，而它就在 [ESP + 4] 的位置。所以我们的汇编指令：

MOV DWORD PTR [ESP + 4], csharpClassPtr

是精准命中目标的。

4. 关于你提到的“无返回值”

在 VB6 里，你定义的是Function，但在底层，VB6 期望这个函数符合 COM 标准：

1. 真正的返回值是通过EAX寄存器返回的HRESULT（0代表成功）。

2. 代码里的返回值是通过栈上最后一个参数ptr Sum_result指向的内存写入的。

如果你的 C# 函数定义为void，可能会导致EAX寄存器残留随机值，VB6 可能会误认为收到了一个错误代码（非 0），从而抛出“运行时错误”。

建议：C# 侧一定要返回0(int)，哪怕你不需要计算结果。

C#

// C# AOT 侧 [UnmanagedCallersOnly(CallConvs = new[] { typeof(CallConvStdcall) })] public static int MyCsharpSum(IntPtr csharpClassPtr, int a, IntPtr b, IntPtr result) { // 逻辑... return 0; // 必须返回 0 (S_OK)，否则 VB6 会报异常 }

下一步：

既然你是在做虚拟类挂载，是否需要我帮你写一个支持动态 Args 数量的跳板生成器？这样你只需要传入参数个数，它就能自动计算出 ptr Sum_result 在栈上的偏移位置。