[译]CERT Secure Coding Standard — C语言安全编程规范(1)

PRE00-EX1: 可以用宏实现局部函数（重复出现的代码片断可以访问所包围作用域范围内的自动变量），但无法用内联函数实现

PRE00-EX2: 宏可以用于进行标识符连接或字符串拼接操作

PRE00-EX3: 宏可以用于产生编译时常量，使用内联函数则不能保证一定产生的是编译时常量

PRE00-EX4: 宏可以“模拟”实现”泛型”函数，类似的机制在C++中是通过模板来实现的。典型的swap函数就可以通过宏机制来实现泛型的效果。

PRE00-EX5: 宏参数表现出的是“通过名称”调用机制，函数则是“通过值”调用。在必须实现“传名称”机制时，就得使用宏来实现

内联函数机制是在C99标准中引入的，C90标准可以使用静态函数。

内联替换既不是简单的文本替换也不会创建一个新函数，内联函数的优化过程是由编译器完成的，与程序员输入无关。

使用内联函数前需要考虑：

(1) 目标编译器支持情况;

(2) 使用后对系统性能的可能影响;

(3) 移植性需求

PRE01-EX1: 宏参数被替换列表中包含逗号时不需要遵循本建议。实例如下：

 #define FOO(a, b, c) bar(a, b, c)
/* ... */
FOO(arg1, arg2, arg3);

PRE01-EX2: 使用宏的##和#机制使用符号拼接、字符串转换时不需要遵循本建议。实例如下：

#define JOIN(a, b) (a ## b)
#define SHOW(a) printf(#a " = %d\n", a)

#define MY_PID getpid()

PRE02-EX2: 宏被展开为一个包含数组下表访问符[]、结构体或共用体成员访问符. 或 ->时可以不遵循此建议。实例如下：

#define NEXT_FREE block->next_free
#define CID customer_record.account.cid
#define TOOFAR array[MAX_ARRAY_SIZE]

typedef char * cstring;
cstring s1;
cstring s2;

#ifndef HEADER_H
#define HEADER_H

/* ... contents of  ... */

#endif /* HEADER_H */

根据C99标准定义，以下三个符号连在一起会被自动转换为特定的单个符号，如下：

/*
 * Swaps two values.
 * Requires tmp variable to be defined.
 */
#define SWAP(x, y) \
  do { \
    tmp = x; \
    x = y; \
    y = tmp; } \
  while (0)

#define ABS(x) (((x) < 0) ? -(x) : (x))

void f(int n) {
  int m;
  m = ABS(++n); /* undefined behavior */
  /* ... */
}

C1X标准草稿C++ 0X标准草稿中新引入了一个静态断言函数

static_assert(constant-expression, string-literal);

• 不要使用过时的函数声明语法
• 避免使用“隐式”函数声明（函数定义即声明）
• 函数指针和所指向的函数要类型匹配（返回值、参数个数、参数类型）

预留实现的标识符类型包括：

• __打头或者_紧跟一个大写字母
• _打头的标识符都预留用于文件作用域
• 被包含头文件中所定义的每一个宏名的子块部分，除非在其他地方特别声明，否则应该避免使用
• 所有的extern类型标识符
• 被包含的头文件中有以上情况中任意一种子类

点评：C语言的变量、函数命名就是一个杯具，这时候就体现出C++名字空间的巨大意义了

声明包含变长数组成员的结构体时有三点需要注意：

• 不完全的数组类型成员必须是结构体中的最后一个元素
• 结构体数组不能再包含变长数组成员
• 包含变长数组成员的结构体不能作为其他结构体中的一个中间成员（必须是最后一个元素）

EXP10-EX1: &&和||可以保证表达式的执行顺序是 自左向右，第一个操作数执行后会产生一个顺序执行点。

EXP10-EX2: 条件表达式（ ? : ）的第一个操作数执行后会产生一个顺序执行点。第二个操作数当且仅当第一个操作数的执行结果不等于0; 第三个操作数当且仅当第一个操作数的执行结果等于0;

EXP10-EX3: 函数调用前存在一个顺序执行点，即函数名、实参、实参中的子表达式都会确定在函数调用前被执行。

EXP10-EX4:逗号运算符的左操作数总是先于右操作数执行，在左操作数执行完后会产生一个顺序执行点。

需要特别注意的是：函数参数列表中的逗号不是逗号运算符，只是用来分隔参数的。函数的多个参数的执行顺序可以是任意的，没有确定顺序！

C语言的数据类型转换是完全基于内存的，由于不同系统的内存组织和排列差异性等问题，可能会导致相同的类型转换语句在不同的系统上执行结果完全不相同。

bit结构存储的差异性是主要的罪魁祸首，不同的系统的bit存储顺序、是否允许跨存储单元边界有可能不相同。

EXP12-EX1: 如果函数的返回值无足轻重或者即使有错误也可以安全的被忽略的话。

EXP12-EX2: 如果一个函数永远不会执行失败或者返回值不存在错误值，返回值就可以忽略。例如strcpy函数。

C语言中的关系运算符具有”左结合性”，即诸如a<b<c的语句，等效于(a<b)<c。如果a<b成立，则实际语句执行效果等效于1<c。

有时候可以利用这种结合性写一些比较geek的代码，但实际上这不利于代码的维护，也会降低代码的可读性。

推荐使用：

if (foo() != 0) ...

而不是：

if (foo()) ...

offsetof()宏提供了一种可移植的计算结构体成员在结构体中的相对内存偏移量的方法，该宏的执行结果是一个常量表达式，值的类型为size_t，表示目标结构体成员在目标结构体中的相对内存偏移量是多少bytes。

如果使用offsetof()计算结构体中的bit域成员或者是非法成员名，其行为是“未定义”的。

bit域成员实例如下：

struct S {
  unsigned int a: 8;
} bits = {255};

int main(void) {
  size_t offset = offsetof(struct S, a);  /* error */
  printf("offsetof(bits, a) = %d.\n", offset );
  return 0;
}

上面的例子中，只需要将

  unsigned int a: 8;

改为：

  unsigned int a;

即可。