Зокрема, що небезпечного у відливанні результату malloc?

Тепер, перш ніж люди починають позначати це дублем, я прочитав усе наступне, жодне з яких не дає відповіді, яку я шукаю:

1. C Поширені запитання: Що поганого в литті поверненого значення malloc?
2. ТАК: Чи слід явно відтворювати повернене значення malloc ()?
3. ТАК: Немає необхідності вказівників на C
4. ТАК: Чи я кидаю результат malloc?

Як часто задані запитання C, так і багато відповідей на вищезазначені запитання посилаються на загадкову помилку, яку mallocможе приховати повернене значення кастингу ; однак жоден з них не наводить конкретного прикладу такої помилки на практиці. Тепер зверніть увагу, що я сказав помилку , а не попередження .

Тепер дано такий код:

#include <string.h>
#include <stdio.h>
// #include <stdlib.h>

int main(int argc, char** argv) {

    char * p = /*(char*)*/malloc(10);
    strcpy(p, "hello");
    printf("%s\n", p);

    return 0;
}

Компіляція вищезазначеного коду з gcc 4.2, з приводом і без, дає однакові попередження, і програма виконує належним чином і забезпечує однакові результати в обох випадках.

anon@anon:~/$ gcc -Wextra nostdlib_malloc.c -o nostdlib_malloc
nostdlib_malloc.c: In function ‘main’:
nostdlib_malloc.c:7: warning: incompatible implicit declaration of built-in function ‘malloc’
anon@anon:~/$ ./nostdlib_malloc 
hello

Тож хтось може навести конкретний приклад коду помилки компіляції або виконання, яка може статися через mallocповернене значення кастингу , чи це просто міська легенда?

Редагувати Я натрапив на два добре написані аргументи щодо цього питання:

1. На користь кастингу: Повідомлення щодо CERT: негайно передайте результат виклику функції виділення пам'яті у покажчик на виділений тип
2. Проти кастингу (помилка 404 станом на 14.02.2012: скористайтеся копією Інтернет-архіву Wayback Machine від 27.01.2010. {2016-03-18: "Сторінку неможливо просканувати або відобразити через robots.txt."})

Ви не отримаєте помилку компілятора , але попередження компілятора . Як зазначають джерела, які ви цитуєте (особливо перше ), ви можете отримати непередбачувану помилку виконання під час використання акторського складу без включенняstdlib.h .

Отже, помилка на вашому боці не в акторському складі, а в тому, що ви забули включити stdlib.h. Компілятори можуть припустити, що mallocце функція, яка повертається int, тому перетворює void*вказівник, фактично повернутий mallocдо, intа потім у ваш тип покажчика завдяки явному приведенню. На деяких платформах intі вказівники можуть займати різну кількість байтів, тому перетворення типів може призвести до пошкодження даних.

На щастя, сучасні компілятори дають попередження, які вказують на вашу фактичну помилку. Перегляньте gccвихідні дані, які ви надали: це попереджає вас, що неявне оголошення ( int malloc(int)) несумісне із вбудованим malloc. Так, gccздається, знає mallocнавіть без stdlib.h.

Залишення акторського складу, щоб запобігти цій помилці, здебільшого є тими ж міркуваннями, що і написання

if (0 == my_var)

замість

if (my_var == 0)

оскільки остання може призвести до серйозної помилки, якщо хтось заплутає =і ==, тоді як перша призведе до помилки компіляції. Я особисто віддаю перевагу останньому стилю, оскільки він краще відображає мій намір, і я не схильний робити цю помилку.

Те саме стосується і передачі значення, яке повертає malloc: Я вважаю за краще бути явним у програмуванні, і я, як правило, двічі перевіряю, щоб включити файли заголовків для всіх функцій, якими я користуюся.

Один із хороших аргументів вищого рівня проти приведення результату mallocчасто часто не згадується, хоча, на мою думку, він важливіший за відомі проблеми нижчого рівня (наприклад, усічення покажчика, коли декларація відсутня).

Хорошою практикою програмування є написання коду, який є максимально незалежним від типу. Це, зокрема, означає, що імена типів повинні згадуватися в коді якомога менше або найкраще взагалі не згадуватися. Це стосується закидів (уникайте непотрібних закидів), типів як аргументів sizeof(уникайте використання імен типів у sizeof) та, загалом, усіх інших посилань на імена типів.

Імена типів належать до оголошень. Наскільки це можливо, імена типів повинні бути обмежені деклараціями і лише деклараціями.

З цієї точки зору, цей біт коду поганий

int *p;
...
p = (int*) malloc(n * sizeof(int));

і це набагато краще

int *p;
...
p = malloc(n * sizeof *p);

не просто тому, що він "не видає результату malloc", а скоріше тому, що він не залежить від типу (або тип-агнозитний, якщо вам більше подобається), оскільки він автоматично підлаштовується під будь- pякий оголошений тип , не вимагаючи жодного втручання з боку користувач.

Припускається, що функції, що не мають прототипу, повертаються int.

Отже, ви транслюєте intвказівник. Якщо покажчики ширші за ints на вашій платформі, це дуже ризикована поведінка.

Плюс, звичайно, що деякі люди вважають попередження бути помилки, тобто код повинен компілюватися без них.

Особисто я думаю, що той факт, що вам не потрібно перекидати void *на інший тип вказівника, є особливістю в C, і вважаю код, який має бути зламаним.

Якщо ви зробите це під час компіляції в 64-розрядному режимі, ваш повернутий покажчик буде усічений до 32-бітового.

РЕДАГУВАТИ: Вибачте за занадто короткий термін. Ось приклад фрагмента коду для обговорення.

основний ()
{
   char * c = (char *) malloc (2);
   printf ("% p", c);
}

Припустимо, що повернутий покажчик купи є чимось більшим, ніж те, що можна представити в int, скажімо 0xAB00000000.

Якщо malloc не прототипується для повернення вказівника, значення int, що повертається, спочатку буде в якомусь регістрі з усіма значущими бітами. Тепер компілятор каже: "гаразд, як мені перетворити та int у покажчик". Це буде або розширенням знака, або нульовим розширенням 32-бітового низького порядку, про що йому було сказано, що malloc "повертається", опускаючи прототип. Оскільки int підписаний, я думаю, що перетворення буде розширенням знака, яке в цьому випадку перетворить значення на нуль. З поверненим значенням 0xABF0000000 ви отримаєте ненульовий покажчик, який також викличе певне задоволення при спробі його розмежування.

Правило програмного забезпечення для багаторазового використання:

У випадку написання вбудованої функції, в якій використано malloc (), щоб зробити його багаторазовим для коду С ++, будь ласка, виконайте явний привід типу (наприклад, (char *)); інакше компілятор скаржиться.

Покажчик порожнечі в C може бути призначений будь-якому покажчику без явного приведення. Компілятор дасть попередження, але його можна багаторазово використовувати в C ++ за допомогою приведення типу malloc()до відповідного типу. При відливанні поза типом також його можна використовувати в C , оскільки C не є суворою перевіркою типу . Але C ++ - це суворо перевірка типу, тому для введення тексту malloc()в C ++ потрібно.