Khả năng tương thích các loại được sửa đổi khác nhau và các tác động an ninh của nó

Question

Tôi đang trải qua một sự đột biến quan tâm đến hệ thống loại biến đổi của C99. Câu hỏi này được lấy cảm hứng từ this one.

Kiểm tra mã từ câu hỏi này, tôi đã khám phá điều gì đó thú vị. Hãy xem xét mã này:

int myFunc(int, int, int, int[][100]); 

int myFunc(int a, int b, int c, int d[][200]) { 
    /* Some code here... */ 
} 

Điều này rõ ràng sẽ không (và không) biên dịch. Tuy nhiên, mã này:

int myFunc(int, int, int, int[][100]); 

int myFunc(int a, int b, int c, int d[][c]) { 
    /* Some code here... */ 
} 

biên dịch thậm chí không có cảnh báo (trên gcc).

Điều đó dường như ngụ ý rằng một loại mảng biến đổi có thể thay đổi tương thích với bất kỳ loại mảng không thay đổi nào khác!

Nhưng đó không phải là tất cả. Bạn sẽ mong đợi một loại biến đổi có thể thay đổi ít nhất là bận tâm với biến nào được sử dụng để thiết lập kích thước của nó. Nhưng nó không có vẻ như vậy!

int myFunc(int, int b, int, int[][b]); 

int myFunc(int a, int b, int c, int d[][c]) { 
    return 0; 
} 

Cũng biên dịch mà không có bất kỳ lỗi nào.

Vì vậy, câu hỏi của tôi là: hành vi chuẩn hóa này có chính xác không?

Ngoài ra, nếu loại mảng biến đổi có thể thực sự tương thích với bất kỳ mảng nào có cùng kích thước, điều này có nghĩa là vấn đề bảo mật khó chịu không? Ví dụ: hãy xem xét mã sau:

int myFunc(int a, int b, int c, int d[][c]) { 
    printf("%d\n", sizeof(*d)/sizeof((*d)[0])); 
    return 0; 
} 

int main(){ 
    int arr[10] = {0, 1, 2, 3, 4, 5, 6, 7, 8, 9}; 
    myFunc(0, 0, 100, &arr); 

    return 0; 
} 

Biên dịch và kết quả đầu ra 100, không có lỗi hoặc cảnh báo, không có gì. Như tôi thấy, điều đó có nghĩa là mảng ngoài phạm vi dễ dàng viết ngay cả khi bạn đang kiểm tra nghiêm ngặt kích thước mảng của mình qua sizeof, không thực hiện một dàn diễn viên và thậm chí có tất cả cảnh báo được bật! Hay tôi đang thiếu một cái gì đó?

Answer 1

C99, phần 6.7.5.2 dường như là nơi các quy tắc có liên quan được đưa ra. Đặc biệt,

Dòng 6:

Đối với hai loại mảng để tương thích, cả hai sẽ có các loại yếu tố tương thích, và nếu cả hai specifiers kích thước có mặt, và là số nguyên biểu thức hằng số, sau đó cả hai specifiers kích thước thì tùy theo tính có cùng giá trị không đổi.Nếu hai kiểu mảng được sử dụng trong một ngữ cảnh yêu cầu chúng phải tương thích, thì đó là hành vi không xác định nếu hai tham số kích thước đánh giá các giá trị không bằng nhau.

Câu trả lời trước đó, hiện đã bị xóa cũng được tham chiếu dòng 6. Bình luận về câu trả lời cho rằng câu thứ hai là tùy thuộc vào điều kiện ở cuối đầu tiên, nhưng điều đó dường như không đọc. Ví dụ 3 của phần đó có thể làm rõ (trích đoạn):

int c[n][n][6][m]; 
int (*r)[n][n][n+1]; 
r=c; // compatible, but defined behavior only if 
     // n == 6 and m == n+1 

Đó dường như so sánh với ví dụ trong câu hỏi: hai loại mảng, một có một chiều hướng liên tục và người kia có một chiều hướng biến tương ứng, và yêu cầu phải có tương thích. Hành vi không xác định (mỗi nhận xét trong ví dụ 3 và một cách đọc hợp lý là 6.7.5.2/6) khi thời gian chạy biến thứ nguyên khác với thứ nguyên hằng số biên dịch. Và không phải là hành vi không xác định những gì bạn mong đợi không? Khác tại sao nêu câu hỏi?

Giả sử chúng tôi có thể đồng ý rằng hành vi không xác định khi sự không khớp xảy ra, tôi quan sát rằng các trình biên dịch nói chung không bắt buộc phải nhận biết hành vi không xác định hoặc có thể không xác định, cũng như không phát hành bất kỳ loại chẩn đoán nào nếu chúng nhận ra điều đó. Tôi hy vọng trong trường hợp này trình biên dịch sẽ có khả năng cảnh báo về hành vi có thể không xác định, nhưng nó phải biên dịch thành công mã vì nó là cú pháp chính xác và đáp ứng tất cả các ràng buộc áp dụng. Lưu ý rằng trình biên dịch có khả năng cảnh báo về việc sử dụng như vậy có thể không làm như vậy theo mặc định.

Answer 2

#include <stdio.h> 

void foo(int c, char d[][c]) 
{ 
    fprintf(stdout, "c = %d; d = %p; d + 1 = %p\n", c, d, d + 1); 
} 

int main() 
{ 
    char x[2][4]; 
    char y[3][16]; 
    char (*z)[4] = y; /* Warning: incompatible types */ 

    foo(4, x); 
    foo(16, y); 
    foo(16, x);  /* We are lying about x. What can/should the compiler/code do? */ 
    foo(4, y);   /* We are lying about y. What can/should the compiler/code do? */ 

    return 0; 
} 

Đầu ra:

c = 4; d = 0x7fff5b295b70; d + 1 = 0x7fff5b295b74 
c = 16; d = 0x7fff5b295b40; d + 1 = 0x7fff5b295b50 
c = 16; d = 0x7fff5b295b70; d + 1 = 0x7fff5b295b80 
c = 4; d = 0x7fff5b295b40; d + 1 = 0x7fff5b295b44 

Vì vậy, foo() không tự động tìm ra cách xa để thăng tiến d dựa trên c, như mã của bạn cũng chứng tỏ.

Tuy nhiên, trình biên dịch sẽ xác định tĩnh nếu/khi bạn gọi foo() không chính xác. Dường như nếu bạn làm điều này, thì trình biên dịch sẽ nói "OK, tôi sẽ cho phép bạn chuyển bất cứ thứ gì bạn muốn làm d, miễn là loại của nó là một mảng ký tự được lập chỉ mục gấp đôi. Các thao tác trên con trỏ d sẽ được xác định bởi c. Chúc may mắn! " Có nghĩa là, có, trình biên dịch thường không thể thực hiện kiểm tra kiểu tĩnh trên các kiểu tham số này và vì vậy tiêu chuẩn gần như chắc chắn không bắt buộc các trình biên dịch bắt tất cả các trường hợp có thể xác định tĩnh một kiểu không tương thích.