Secara khusus, apa yang berbahaya tentang casting hasil malloc?

Sekarang sebelum orang mulai menandai ini sebagai dup, saya telah membaca semua yang berikut, tidak ada yang memberikan jawaban yang saya cari:

1. C FAQ: Apa yang salah dengan nilai pengembalian malloc?
2. SO: Haruskah saya secara eksplisit menggunakan nilai kembalian malloc ()?
3. SO: Pointer-cast yang tidak perlu di C
4. SO: Apakah saya memberikan hasil malloc?

C FAQ dan banyak jawaban atas pertanyaan di atas mengutip kesalahan misterius yang mallocdapat disembunyikan oleh nilai pengembalian casting ; namun, tidak satupun dari mereka memberikan contoh spesifik dari kesalahan seperti itu dalam praktiknya. Sekarang perhatikan bahwa saya mengatakan kesalahan , bukan peringatan .

Sekarang diberi kode berikut:

#include <string.h>
#include <stdio.h>
// #include <stdlib.h>

int main(int argc, char** argv) {

    char * p = /*(char*)*/malloc(10);
    strcpy(p, "hello");
    printf("%s\n", p);

    return 0;
}

Mengompilasi kode di atas dengan gcc 4.2, dengan dan tanpa cast memberikan peringatan yang sama, dan program dijalankan dengan benar dan memberikan hasil yang sama pada kedua kasus.

anon@anon:~/$ gcc -Wextra nostdlib_malloc.c -o nostdlib_malloc
nostdlib_malloc.c: In function ‘main’:
nostdlib_malloc.c:7: warning: incompatible implicit declaration of built-in function ‘malloc’
anon@anon:~/$ ./nostdlib_malloc 
hello

Jadi adakah yang bisa memberikan contoh kode spesifik dari kompilasi atau runtime error yang dapat terjadi karena mallocnilai kembalian casting , atau apakah ini hanya legenda urban?

Sunting Saya menemukan dua argumen yang ditulis dengan baik mengenai masalah ini:

1. Mendukung Casting: CERT Advisory: Segera mentransmisikan hasil panggilan fungsi alokasi memori ke pointer ke tipe yang dialokasikan
2. Against Casting (kesalahan 404 per 2012-02-14: gunakan salinan Internet Archive Wayback Machine dari 2010-01-27. {2016-03-18: "Halaman tidak dapat dirayapi atau ditampilkan karena robots.txt."})

Anda tidak akan mendapatkan kesalahan kompilator , tetapi peringatan kompilator . Seperti yang dikatakan sumber yang Anda kutip (terutama yang pertama ), Anda bisa mendapatkan error runtime yang tidak dapat diprediksi saat menggunakan cast tanpa menyertakannyastdlib.h .

Jadi kesalahan di pihak Anda bukanlah pada pemerannya, melainkan lupa untuk dimasukkan stdlib.h. Penyusun dapat menganggap bahwa itu mallocadalah fungsi yang kembali int, oleh karena itu mengonversi void*penunjuk yang sebenarnya dikembalikan oleh mallocke intdan kemudian ke jenis penunjuk Anda karena cast eksplisit. Pada beberapa platform, intdan pointer dapat mengambil jumlah byte yang berbeda, sehingga jenis konversi dapat menyebabkan kerusakan data.

Untungnya, kompiler modern memberikan peringatan yang mengarah ke kesalahan Anda yang sebenarnya. Lihat gcckeluaran yang Anda berikan: Ini memperingatkan Anda bahwa deklarasi implisit ( int malloc(int)) tidak kompatibel dengan bawaan malloc. Jadi gccsepertinya tahu mallocbahkan tanpa stdlib.h.

Meninggalkan pemeran untuk mencegah kesalahan ini sebagian besar merupakan alasan yang sama seperti menulis

if (0 == my_var)

dari pada

if (my_var == 0)

karena yang terakhir dapat menyebabkan bug yang serius jika ada yang bingung =dan ==, sedangkan yang pertama akan menyebabkan kesalahan kompilasi. Saya pribadi lebih suka gaya yang terakhir karena lebih mencerminkan niat saya dan saya tidak cenderung melakukan kesalahan ini.

Hal yang sama berlaku untuk casting nilai yang dikembalikan oleh malloc: Saya lebih suka eksplisit dalam pemrograman dan saya biasanya memeriksa ulang untuk memasukkan file header untuk semua fungsi yang saya gunakan.

Salah satu argumen tingkat tinggi yang baik terhadap casting hasil mallocsering tidak disebutkan, meskipun, menurut pendapat saya, itu lebih penting daripada masalah tingkat rendah yang terkenal (seperti memotong penunjuk ketika deklarasi hilang).

Praktik pemrograman yang baik adalah menulis kode, yang sebisa mungkin tidak tergantung tipe. Artinya, secara khusus, nama tipe harus disebutkan dalam kode sesedikit mungkin atau sebaiknya tidak disebutkan sama sekali. Ini berlaku untuk cast (hindari cast yang tidak perlu), jenis sebagai argumen sizeof(hindari menggunakan nama jenis dalam sizeof) dan, umumnya, semua referensi lain untuk nama jenis.

Nama jenis termasuk dalam deklarasi. Sebisa mungkin, nama tipe harus dibatasi pada deklarasi dan hanya pada deklarasi.

Dari sudut pandang ini, sedikit kode ini buruk

int *p;
...
p = (int*) malloc(n * sizeof(int));

dan ini jauh lebih baik

int *p;
...
p = malloc(n * sizeof *p);

bukan hanya karena "tidak mentransmisikan hasil dari malloc", melainkan karena ini adalah tipe-independen (atau tipe-agnositic, jika Anda lebih suka), karena secara otomatis menyesuaikan diri dengan tipe apa pun pyang dideklarasikan dengan, tanpa memerlukan intervensi apa pun dari pengguna.

Fungsi non-prototipe diasumsikan kembali int.

Jadi Anda mentransmisikan intke sebuah pointer. Jika petunjuk lebih luas dari intpada platform Anda, ini adalah perilaku yang sangat berisiko.

Ditambah, tentu saja, beberapa orang menganggap peringatan sebagai kesalahan, yaitu kode harus dikompilasi tanpa mereka.

Secara pribadi, saya pikir fakta bahwa Anda tidak perlu mentransmisikan void *ke tipe penunjuk lain adalah fitur di C, dan menganggap kode yang tidak rusak.

Jika Anda melakukan ini saat mengompilasi dalam mode 64-bit, pointer yang Anda kembalikan akan dipotong menjadi 32-bit.

EDIT: Maaf terlalu singkat. Berikut adalah contoh fragmen kode untuk tujuan diskusi.

utama()
{
   char * c = (char *) malloc (2);
   printf ("% p", c);
}

Misalkan penunjuk heap yang dikembalikan adalah sesuatu yang lebih besar dari apa yang dapat direpresentasikan dalam int, katakanlah 0xAB00000000.

Jika malloc tidak dibuat prototipe untuk mengembalikan pointer, nilai int yang dikembalikan awalnya akan berada di beberapa register dengan semua bit signifikan yang ditetapkan. Sekarang kompilator berkata, "oke, bagaimana cara mengubah dan int menjadi pointer". Itu akan menjadi salah satu ekstensi tanda atau ekstensi nol dari 32-bit orde rendah yang telah diberitahu malloc "kembali" dengan menghilangkan prototipe. Karena int ditandatangani, saya pikir konversinya akan menjadi ekstensi tanda, yang dalam hal ini akan mengubah nilai menjadi nol. Dengan nilai kembali 0xABF0000000 Anda akan mendapatkan penunjuk bukan nol yang juga akan menyenangkan saat Anda mencoba membedakannya.

Aturan Perangkat Lunak yang Dapat Digunakan Kembali:

Dalam kasus penulisan fungsi inline yang menggunakan malloc (), agar dapat digunakan kembali untuk kode C ++ juga, lakukan pengecoran tipe eksplisit (mis. (Char *)); jika tidak, kompilator akan mengeluh.

Sebuah pointer kosong di C dapat diberikan ke pointer apapun tanpa cast eksplisit. Compiler akan memberikan peringatan tetapi dapat digunakan kembali di C ++ dengan mentransmisikan tipe malloc()ke tipe yang sesuai. Tanpa pengecoran tipe juga dapat digunakan di C , karena C tidak ada pengecekan tipe yang ketat . Tetapi C ++ secara ketat memeriksa tipe sehingga diperlukan untuk mengetikkan cast malloc()di C ++.