DCL30-C. 用合适的存储期声明对象

每个对象都有一个存储期限来决定它的生命周期： static, thread, automatic, 或 allocated.

根据C语言标准，6.2.4节，第2段 [ISO/IEC 9899:2011],

一个对象的生命周期指的是程序执行的一段时间，在这段时间内，对象的存储一直会被保持。一个对象存在，意味着它有一个固定地址，并在它的生命周期内保存最后被赋的值。如果一个对象在它的生命周期之外被引用了，行为是未定义的。当一个对象接近它的生命周期结束时，指向这个对象指针的值是未确定的。

不要在生命周期之外访问一个对象。这样做是 未定义行为 ，并会导致可利用的 漏洞 。(参见Annex C语言标准中的 未定义行为 9)

不遵从规范的代码示例 (不同的存储周期)

在这个不遵从规范的代码示例中，变量c_str的地址是自动存储期限(automatic storage duration)，它被赋值给变量p, 而变量p是静态存储期限(static storage duration)。复制本身是有效的，但在函数dont_do_this()的末尾时，c_str出了它的作用域以后, p还持有它的地址，该地址就已经无效了。

#include <stdio.h>
  
const char *p;
void dont_do_this(void) {
  const char c_str[] = "This will change";
  p = c_str; /* Dangerous */
}
 
void innocuous(void) {
  printf("%s\n", p);
}
 
int main(void) {
  dont_do_this();
  innocuous();
  return 0;
}

遵从规范的解决方案 (相同的存储期限)

在这个遵从规范的方案中，p和c_str被声明为具有相同的存储期限，防止了p在this_is_OK()之外持有不确定值 ：

void this_is_OK(void) {
  const char c_str[] = "Everything OK";
  const char *p = c_str;
  /* ... */
}
/* p is inaccessible outside the scope of string c_str */

另外，p和c_str也都可以声明为静态存储期限。

遵从规范的解决方案 (不同的存储期限)

如果需要p被声明为静态存储期限，但是c_str被声明为更具限制性的存储期限，在c_str被销毁之前p可以被赋值成NULL. 这样的实践做法可以防止p持有不确定值 ，尽管在引用p时需要做判空。

const char *p;
void is_this_OK(void) {
  const char c_str[] = "Everything OK?";
  p = c_str;
  /* ... */
  p = NULL;
}

不遵从规范的代码示例 (返回值)

在这个不遵从规范的代码示例中，函数init_array()返回了一个具有自动存储期限的指向字符数组的指针，该指针可以被调用者访问到：

char *init_array(void) {
  char array[10];
  /* Initialize array */
  return array;
}

当从一个函数返回一个具有自动存储期限的对象指针时，一些编译器会产生诊断信息。编程人员应该采用高级别告警来编译代码并解决诊断信息。(参见MSC00-C. Compile cleanly at high warning levels)

遵从规范的解决方案 (返回值)

这个解决方案取决于编程人员的意图。如果意图是修改array的值并让修改在init_array()函数之外也保持，那么可以在函数外部声明array并作为参数传递给init_array().

#include <stddef.h>
void init_array(char *array, size_t len) {
  /* Initialize array */
  return;
}
 
int main(void) {
  char array[10];
  init_array(array, sizeof(array) / sizeof(array[0]));
  /* ... */
  return 0;
}

不遵从规范的代码示例 (输出参数)

在这个不遵从规范的示例代码中，函数squirrel_away()将指向本地变量local的指针存储到了函数参数ptr_param所指向的位置。当squirrel_away()返回时，ptr_param就指向了一个生命周期已过期的对象。

void squirrel_away(char **ptr_param) {
  char local[10];
  /* Initialize array */
  *ptr_param = local;
}
 
void rodent(void) {
  char *ptr;
  squirrel_away(&ptr);
  /* ptr is live but invalid here */
}

遵从规范的解决方案 (输出参数)

在这个遵从规范的方案中，变量local具有静态存储期限；所以ptr可以在rodent()函数中因为local数组。

char local[10];
  
void squirrel_away(char **ptr_param) {
  /* Initialize array */
  *ptr_param = local;
}
 
void rodent(void) {
  char *ptr;
  squirrel_away(&ptr);
  /* ptr is valid in this scope */
}

风险评估

引用超出生命周期的对象可导致攻击者执行任意代码。

参考文献