跨越數據類(lèi)型的重重陷阱

數據類(lèi)型是編程語(yǔ)言中最基本的構成元素，但卻是最易被忽略的一環(huán)，程序員愿意把幾乎100％的精力都花在算法研究、程序流控制等大環(huán)節上，卻很少在數據類(lèi)型問(wèn)題上反復斟酌。 
 
細節決定成敗，一個(gè)螺絲釘的失誤可能導致一個(gè)飛行器的毀滅，一個(gè)數據類(lèi)型的錯誤同樣可以讓龐大的軟件系統崩潰。 

MISRA—c中關(guān)于數據類(lèi)型的規則主要分為兩個(gè)方面。一是數據類(lèi)型相關(guān)的編程風(fēng)格；二是不同數據類(lèi)型之間的轉換，后者是重點(diǎn)。這里介紹MISRA_C關(guān)于數據類(lèi)型的部分規則，更多的規則請參考《MISRA-C：2OO4)》一書(shū)。 

下文中凡是未加特殊說(shuō)明的都是強制(required)規則．個(gè)別推薦(advisory)規則加了“推薦”標識。 

在展開(kāi)論述之前，先看兩個(gè)問(wèn)題，讀者可以帶著(zhù)疑問(wèn)閱讀完本章內容。

問(wèn)題1：執行以下程序，result_8的值是多少?
ulnt8_t porI=0x5a;
uint8一t resuh_8；
result_8=(～port)>>4;
／*注：uint8_t表示8位無(wú)符號整型*／

問(wèn)題2：執行以下程序，d的值是多少?
uintl6_t a=10；
uin|16_t b=6553l；
uint32_t c=0；
uint32_t d；
d=a+b+c；
／*注：uintl6_t表示16位無(wú)符號整型，uint32_t表示32位無(wú)符號整型*／ 


1 數據類(lèi)型相關(guān)的編程風(fēng)格
規則6.3(推薦)：必須用typedef顯式標識出各數據
類(lèi)型的長(cháng)度和符號特性，避免直接使用標準數據類(lèi)型。
例如，一個(gè)32位的整數系統，可定義如下：
typedef char chat_t；
typedef sigrled char int8_t；
typedef signed short intl6_t；
typedef signed int int32_t；
typedef signed long int64_t；
typedef unsitgned chat uint8_t；
typedef unsigned short uint16_t;
typedef unsigned int uint32_t;
typedef unsigned 1ong uint64_t； 

之所以用intl6_t和uint32_t等代替signed short和unsigned int等標準數據類(lèi)型標識符，是由于不同的編譯器對標準數據類(lèi)型的長(cháng)度定義是不一樣的。比如說(shuō)一個(gè)16位系統，很可能就把short和int都定義成16位，long定義成32位，這與上文32位系統中標準數據類(lèi)型的長(cháng)度就不一致。用intl6_t和uint_32等標識符來(lái)定義變量，一方面增加了程序的可讀性，使得程序員本人或其他讀者都能對程序中數據的具體信息胸有成竹；另一方面也有助于程序在不同系統之間的移植，節省開(kāi)發(fā)時(shí)間，減少隱患。規則7 1：不得使用八進(jìn)制常數(O除外)或八進(jìn)制轉義符。
思考如下數組：
code[1]=109；
code[2]=100；
code[3]=O52
code[4]=O71；
／*注：八進(jìn)制常數須在最高位加O*／ 

code[3]的實(shí)際值是42(十進(jìn)制)，code[4]的實(shí)際值是57(十進(jìn)制)；但估計很多讀者會(huì )把code[3]認成是52(十進(jìn)制)，code[4]認成是7l(十進(jìn)制)。 

八進(jìn)制數在C程序中使用的頻率遠小于十進(jìn)制數和十六進(jìn)制數，為了保證程序的可讀性和安全性，程序員不允許使用八進(jìn)制數以及八進(jìn)制轉義符。 


2  數據類(lèi)型轉換 
如果程序員對數據類(lèi)型的轉換有很清晰的認識，并且在必要的地方做了正確的顯式強制轉換，那程序是安全的。但有時(shí)由于程序員的疏忽，或者是過(guò)于相信編譯器的“智慧”程度，導致表達式中有很多隱式轉換(即沒(méi)有顯式地強制轉換)，而這些隱式數據類(lèi)型轉換很可能就構成致命的漏洞。MISRA—C中數據類(lèi)型轉換規則的著(zhù)眼點(diǎn)，即是避免有漏洞的隱式數據轉換。 

在介紹MISRA—C關(guān)于數據類(lèi)型轉換的部分規則之前，先介紹整型操作數的“平衡(balance)”原則。所謂整型操作數“平衡”原則，即對于隱式表達式，編譯器會(huì )按照既定規則對操作數進(jìn)行位數擴充，其中int和unsiglled int在整型表達式“平衡”過(guò)程中占重要地位。 

下面分析一個(gè)簡(jiǎn)單的隱式整型表達式c=a+b(假設a的存儲位數不大于b的存儲位數)，編譯器是這樣來(lái)處理這個(gè)表達式的： 

如果b是短整型(即位數少于int，比如char、short等)或者整型(int或unsigned int)，那a也是短整型或者整型，執行“+”運算之前，a和b都將被擴充為整型(int或者unsigned int)，然后相加的結果賦給c(如果c不是int或者unsigned int類(lèi)型，則這個(gè)賦值操作也會(huì )包含隱式的擴充或截斷操作)。 

如果b是長(cháng)整型(存儲位數多于int)，則a會(huì )被擴充為與b相當的長(cháng)整型，再執行“+”運算，所得結果賦給c(可能包含隱式的擴充或截斷操作)。 

絕大部分的操作符用于整型運算的時(shí)候，都遵循上述“平衡”原則，比如：算術(shù)操作符、位操作符和關(guān)系運算符。 

但邏輯操作符不遵循上述“平衡”原則。此外左移(<<)和右移(>>)運算符也不遵循“平衡”原則，只和移位操作符左邊的整型操作數相關(guān)。假設一個(gè)8位的短整型變量值為Oxf5(十六進(jìn)制)，則右移4位所得結果是O xof(十六進(jìn)制)。 

明確了上述背景后，下面來(lái)關(guān)注本文一開(kāi)始提出的“問(wèn)題1”(代碼參見(jiàn)前文)。絕大部分擁有嵌人式C程序開(kāi)發(fā)經(jīng)驗的人都明白這段代碼的原意是將port的值取反后右移4位賦值給result_8(在用I／O口控制共陽(yáng)的LED時(shí)經(jīng)常這么做)，程序員期望的結果顯然是resuIt_8=0xof。然而，由于整型的“平衡”原則，在16位編譯器中，～port的值是Oxffa5；在32位編譯器中，～pott的值是Oxffffffa5。無(wú)論哪種情況，最后結果(右移4位后賦值給result_8的時(shí)候有一個(gè)截斷操作)都是resuIt_8=Oxfa，而非程序員預期的result_8=OxOf。 

倘若將最后一行代碼改成result一8=((uin8_t)(～port))>>4，則result_8可取得預期的值。 

針對以上情況，MISRA-c提出了相應規則。 

規則10.5：如果位操作符～和移位操作符<<(或>>)聯(lián)合作用于unsigned char或者unsigned short類(lèi)型的操作數時(shí)，中間運算步驟的結果必須立刻顯式強制轉換為預期的短整型數據類(lèi)型。 

為了加深對“平衡”原則的理解，再來(lái)分析一下“問(wèn)題2”。 

如果用一個(gè)32位的編譯器來(lái)編譯這段程序，最終結果是d=6554l，程序員“幸運地”得到了預期的結果。如果是16位的編譯器，得到的結果卻是d=5。 

由于“+”運算是左結合的，所以d=a+b+c等效于d=(a+b)+c，即先執行a+b，所得的和再與c相加．最后結果賦值給d。問(wèn)題就出在a+b這個(gè)中間步驟中。由于a和b都是16位整型(注意編譯器也是16位的)，故而a+b的結果也是16位整型，則a+b的值是Ox0005(有溢出)；再擴充為32位整型Ox00000005和c相加賦值給d，d=5，這并非程序員預期的結果。 

所以，在16位編譯器中，問(wèn)題2的那段代碼很可能導致嚴重錯誤。當然，如果程序員用()指定了運算優(yōu)先級的話(huà)，即最后一行代碼寫(xiě)成d=a+(b+c)，也可以避免上述溢出錯誤，然而，這終究不是治本的辦法。只有明確每一個(gè)操作數的實(shí)際數據類(lèi)型，才能保障代碼的安全性。 

MISRA-C中對于表達式中存在隱式數據類(lèi)型轉換的情況作了嚴格的限制。 

規則10.1：以下情況下，整型表達式中不允許出現隱式數據類(lèi)型轉換。
    ①整型操作數不是被擴充為更多位數的同符號整數；
    ②表達式是復雜表達式；
    ③表達式不是常數表達式，且是函數的參數；
    ④表達式不是常數表達式，且是函數的返回表達式。。 

規則10.2：以下情況下，浮點(diǎn)數表達式中不允許出現隱式數據類(lèi)型轉換。
    ①浮點(diǎn)型操作數不是被擴充為更多位數的同符號浮點(diǎn)數；
    ②表達式是復雜表達式；
    ③表達式是函數的參數；
    ④表達式是函數的返回表達式。 

整型表達式規則和浮點(diǎn)數表達式規則基本類(lèi)似，只是浮點(diǎn)數表達式規則更為苛刻一些，對浮點(diǎn)型的常數也作了嚴格的限定。 

這兩條規則中，出現了“復雜表達式”的概念。請注意，MISRA—C中“復雜表達式”的概念和其他介紹C編程規范書(shū)籍中“復雜表達式”的概念是不一樣的。在MISRA-C中，非“復雜表達式”基本只限制在常數表達式或者函數的返回值。為了明確上述規則中關(guān)于“復雜表達式”和“返回表達式”的概念，此處舉一例子。定義一個(gè)函數uintl6_t foo(void)，函數體如下：
uintl6_t foo(void){
return(a+b+c)； 

函數體中最后一句return(a+b+c)中的a+b+c是返回表達式。倘若在C程序的其他地方有a=foo()這樣的語(yǔ)句，則用的是foo()函數的返回值。在MISRA-c中，的資源，完成了采用USB接口技術(shù)的熱敏打印機的開(kāi)發(fā)，并對打印頭作了充分的保護。通過(guò)采用相應的算法實(shí)現這個(gè)賦值表達式不是“復雜表達式”。 

至于表達式作為函數參數等情況，礙于篇幅的原因，此處就不再詳細展開(kāi)了。 

權衡一下利弊，在涉及到數據類(lèi)型轉換的時(shí)候，與其花很大力氣去區分一個(gè)隱式表達式是否在MISRA—C規則的“黑名單”中，還不如用強制轉換符顯式地標識出每個(gè)操作數的實(shí)際數據類(lèi)型，這是最為穩妥的方法?？偠灾?，MISRA—C關(guān)于數據類(lèi)型轉換規則的中心意思，是要求程序員明確任意一個(gè)操作數的實(shí)際數據類(lèi)型。 

3  小 結 
作為一名優(yōu)秀程序員，第一步就是以嚴謹的態(tài)度對待程序中的每一個(gè)數據，明白任何一個(gè)數據操作的關(guān)鍵，從而能寫(xiě)出最清晰易懂而又安全的代碼。MISRA—C關(guān)于數據類(lèi)型的規則可保障程序員在邁出這一步的時(shí)候不會(huì )摔倒。