CERT C 规范
CERT C 规范
https://ww2.mathworks.cn/help/bugfinder/cert-c-rules-and-recommendations.html?lang=en
规则
预处理器
[规则 PRE30-C] 禁止通过宏拼接创建通用字符名。
[规则 PRE31-C] 避免在不安全宏的参数中引入副作用。
[规则 PRE32-C] 禁止在类函数宏的调用中使用预处理指令。
声明与初始化
[规则 DCL30-C] 为对象声明合适的存储期。
[规则 DCL31-C] 标识符使用前必须先声明。
[规则 DCL36-C] 禁止为同一个标识符声明冲突的链接属性。
[规则 DCL37-C] 禁止声明或定义保留标识符。
[规则 DCL38-C] 声明柔性数组成员时使用正确的语法。
[规则 DCL39-C] 避免结构体填充带来的信息泄露。
[规则 DCL40-C] 禁止为同一个函数或对象创建不兼容的声明。
[规则 DCL41-C] 禁止在 switch 语句中第一个 case 标签之前声明变量。
表达式
[规则 EXP30-C] 不要依赖带副作用表达式的求值顺序。
[规则 EXP32-C] 禁止通过非 volatile 引用访问 volatile 对象。
[规则 EXP33-C] 禁止读取未初始化的内存。
[规则 EXP34-C] 禁止解引用空指针。
[规则 EXP35-C] 禁止修改具有临时生存期的对象。
[规则 EXP36-C] 禁止将指针强制转换为对齐要求更严格的指针类型。
[规则 EXP37-C] 调用函数时传入正确数量和类型的参数。
[规则 EXP39-C] 禁止通过类型不兼容的指针访问变量。
[规则 EXP40-C] 禁止修改常量对象。
[规则 EXP42-C] 禁止对结构体填充数据进行比较操作。
[规则 EXP43-C] 使用 restrict 限定的指针时，避免引发未定义行为。
[规则 EXP44-C] 不要依赖 sizeof、_Alignof 或 _Generic 操作数中的副作用。
[规则 EXP45-C] 禁止在选择语句中执行赋值操作。
[规则 EXP46-C] 禁止对类布尔操作数使用位运算符。
[规则 EXP47-C] 调用 va_arg 时，禁止传入类型不正确的参数。
整数
[规则 INT30-C] 确保无符号整数运算不会发生回绕。
[规则 INT31-C] 确保整数转换不会导致数据丢失或被错误解读。
[规则 INT32-C] 确保有符号整数运算不会发生溢出。
[规则 INT33-C] 确保除法和取余运算不会引发除零错误。
[规则 INT34-C] 禁止对表达式执行负数位数的移位，或移位位数大于等于操作数本身的位宽。
[规则 INT35-C] 使用正确的整数精度。
[规则 INT36-C] 规范指针与整数之间的相互转换。
浮点数
[规则 FLP30-C] 禁止使用浮点型变量作为循环计数器。
[规则 FLP32-C] 预防并检测数学函数中的定义域与值域错误。
[规则 FLP34-C] 确保浮点数转换后的值在目标类型的取值范围内。
[规则 FLP36-C] 整数值转换为浮点类型时，需保证精度不丢失。
[规则 FLP37-C] 禁止通过对象的内存表示来比较浮点数值。
数组
[规则 ARR30-C] 禁止生成或使用越界的指针或数组下标。
[规则 ARR32-C] 确保变长数组的长度参数处于有效范围内。
[规则 ARR36-C] 禁止对不指向同一数组的两个指针进行相减或比较操作。
[规则 ARR37-C] 禁止对非数组对象的指针执行整数加减操作。
[规则 ARR38-C] 确保库函数不会生成无效指针。
[规则 ARR39-C] 禁止对指针执行缩放后的整数加减操作。
字符与字符串
[规则 STR30-C] 禁止尝试修改字符串字面量。
[规则 STR31-C] 确保字符串的存储空间足以容纳字符数据和空终止符。
[规则 STR32-C] 禁止将非空终止的字符序列传入期望字符串参数的库函数。
[规则 STR34-C] 字符转换为更大的整数类型前，需先强制转换为 unsigned char 类型。
[规则 STR37-C] 字符处理函数的参数必须能以 unsigned char 类型表示。
[规则 STR38-C] 不要混淆窄字符、宽字符字符串及其对应的处理函数。
内存管理
[规则 MEM30-C] 禁止访问已释放的内存。
[规则 MEM31-C] 动态分配的内存不再使用时需及时释放。
[规则 MEM33-C] 对包含柔性数组成员的结构体，需使用动态方式进行分配和拷贝。
[规则 MEM34-C] 仅释放动态分配的内存。
[规则 MEM35-C] 为对象分配足够的内存空间。
[规则 MEM36-C] 禁止通过调用 realloc() 修改对象的内存对齐属性。
输入输出
[规则 FIO30-C] 禁止将用户输入内容嵌入格式字符串。
[规则 FIO32-C] 禁止对设备执行仅适用于普通文件的操作。
[规则 FIO34-C] 区分从文件读取的字符与 EOF、WEOF。
[规则 FIO37-C] 不要假定 fgets() 或 fgetws() 调用成功时一定会返回非空字符串。
[规则 FIO38-C] 禁止拷贝 FILE 对象。
[规则 FIO39-C] 对流交替执行输入和输出操作时，中间必须插入刷新或定位操作。
[规则 FIO40-C] fgets() 或 fgetws() 调用失败时，需重置相关字符串。
[规则 FIO41-C] 调用 getc()、putc()、getwc() 或 putwc() 时，流参数禁止引入副作用。
[规则 FIO42-C] 文件不再使用时需及时关闭。
[规则 FIO44-C] fsetpos() 仅能使用 fgetpos() 返回的位置值。
[规则 FIO45-C] 访问文件时，避免出现时间检查 - 时间使用（TOCTOU）竞态条件。
[规则 FIO46-C] 禁止访问已关闭的文件。
[规则 FIO47-C] 使用合法的格式字符串。
环境
[规则 ENV30-C] 禁止修改特定函数返回值所指向的对象。
[规则 ENV31-C] 环境指针在执行可能使其失效的操作后，禁止继续依赖该指针。
[规则 ENV32-C] 所有退出处理程序必须正常返回。
[规则 ENV33-C] 禁止调用 system() 函数。
[规则 ENV34-C] 禁止存储特定函数返回的指针。
信号
[规则 SIG30-C] 信号处理函数内仅能调用异步安全函数。
[规则 SIG31-C] 信号处理函数内禁止访问共享对象。
[规则 SIG34-C] 禁止在可中断的信号处理函数内调用 signal() 函数。
[规则 SIG35-C] 计算异常信号的处理函数禁止正常返回。
错误处理
[规则 ERR30-C] 调用会设置 errno 的库函数前，需将 errno 置零；仅当函数返回值表明调用失败后，再检查 errno 的值。
[规则 ERR32-C] 不要依赖 errno 的不确定值。
[规则 ERR33-C] 检测并处理标准库函数的错误。
[规则 ERR34-C] 字符串转换为数值时，需检测并处理转换错误。
并发
[规则 CON30-C] 及时清理线程本地存储。
[规则 CON31-C] 禁止销毁处于锁定状态的互斥锁。
[规则 CON32-C] 多线程环境下访问位域时，需预防数据竞争。
[规则 CON33-C] 使用库函数时，避免出现竞态条件。
[规则 CON34-C] 为线程间共享的对象声明合适的存储期。
[规则 CON35-C] 按预定义顺序加锁，避免死锁。
[规则 CON36-C] 将可能发生虚假唤醒的函数包裹在循环中。
[规则 CON37-C] 多线程程序中禁止调用 signal() 函数。
[规则 CON38-C] 使用条件变量时，需保证线程安全性与活性。
[规则 CON39-C] 禁止对已执行连接或分离操作的线程，再次执行连接或分离操作。
[规则 CON40-C] 禁止在一个表达式中对原子变量引用两次。
[规则 CON41-C] 将可能发生虚假失败的函数包裹在循环中。
[规则 CON43-C] 多线程代码中禁止出现数据竞争。
杂项
[规则 MSC30-C] 禁止使用 rand() 函数生成伪随机数。
[规则 MSC32-C] 为伪随机数生成器设置正确的种子。
[规则 MSC33-C] 禁止向 asctime() 函数传入非法数据。
[规则 MSC37-C] 确保控制流永远不会到达非 void 函数的末尾。
[规则 MSC38-C] 若预定义标识符可能仅以宏的形式实现，禁止将其当作对象处理。
[规则 MSC39-C] 禁止对值不确定的 va_list 调用 va_arg()。
[规则 MSC40-C] 禁止违反语言约束。
[规则 MSC41-C] 严禁硬编码敏感信息。
POSIX 扩展
[规则 POS30-C] 正确使用 readlink() 函数。
[规则 POS34-C] 禁止将自动变量的指针作为参数传入 putenv() 函数。
[规则 POS35-C] 检查符号链接是否存在时，避免出现竞态条件。
[规则 POS36-C] 放弃权限时，需遵循正确的撤销顺序。
[规则 POS37-C] 确保权限放弃操作执行成功。
[规则 POS38-C] 使用 fork 与文件描述符时，警惕竞态条件。
[规则 POS39-C] 系统间传输数据时，使用正确的字节序。
[规则 POS44-C] 禁止使用信号终止线程。
[规则 POS47-C] 禁止使用可被异步取消的线程。
[规则 POS48-C] 禁止解锁或销毁其他 POSIX 线程的互斥锁。
[规则 POS49-C] 当数据需要被多个线程访问时，需提供互斥锁，并确保不会访问相邻数据。
[规则 POS50-C] 为 POSIX 线程间共享的对象声明合适的存储期。
[规则 POS51-C] POSIX 线程按预定义顺序加锁，避免死锁。
[规则 POS52-C] 持有 POSIX 锁期间，禁止执行可能发生阻塞的操作。
[规则 POS53-C] 条件变量上的并发等待操作，禁止使用超过一个互斥锁。
[规则 POS54-C] 检测并处理 POSIX 库函数的错误。
微软 Windows 扩展
[规则 WIN30-C] 正确配对内存分配与释放函数。
建议
预处理器
[建议 PRE00-C] 优先使用内联函数或静态函数，而非类函数宏。
[建议 PRE01-C] 宏内的参数名称需用括号包裹。
[建议 PRE02-C] 宏的替换列表需用括号包裹。
[建议 PRE03-C] 编码非指针类型时，优先使用 typedef 而非 define。
[建议 PRE04-C] 不要复用标准头文件的名称。
[建议 PRE05-C] 理解令牌拼接或字符串化操作时的宏替换规则。
[建议 PRE06-C] 头文件需使用包含保护宏包裹。
[建议 PRE07-C] 避免使用连续的问号。
[建议 PRE08-C] 确保头文件名具有唯一性。
[建议 PRE09-C] 不要用已弃用或过时的函数替换安全函数。
[建议 PRE10-C] 多语句宏需用 do-while 循环包裹。
[建议 PRE11-C] 宏定义的末尾不要加分号。
[建议 PRE12-C] 不要定义不安全的宏。
声明与初始化
[建议 DCL00-C] 对不可变对象添加 const 限定。
[建议 DCL01-C] 不要在子作用域中复用变量名。
[建议 DCL02-C] 使用视觉上易于区分的标识符。
[建议 DCL03-C] 使用静态断言检测常量表达式的值。
[建议 DCL04-C] 一条声明语句仅声明一个变量。
[建议 DCL05-C] 仅对非指针类型使用 typedef。
[建议 DCL06-C] 使用有意义的符号常量表示字面量值。
[建议 DCL07-C] 函数声明符中需包含完整的类型信息。
[建议 DCL09-C] 返回 errno 的函数，需将返回值类型声明为 errno_t。
[建议 DCL20-C] 函数无参数时，需显式指定参数列表为 void。
[建议 DCL10-C] 维护可变参数函数的实现者与调用者之间的契约。
[建议 DCL11-C] 理解可变参数函数相关的类型问题。
[建议 DCL12-C] 使用不透明类型实现抽象数据类型。
[建议 DCL13-C] 函数参数中，指向不会被函数修改的值的指针，需声明为 const。
[建议 DCL15-C] 不需要外部链接的文件作用域对象或函数，需声明为 static。
[建议 DCL16-C] 使用大写的 ‘L’ 而非小写的 ‘l’ 标识长整型数值。
[建议 DCL18-C] 表示十进制数值时，整数常量不要以 0 开头。
[建议 DCL19-C] 最小化变量和函数的作用域。
[建议 DCL21-C] 理解复合字面量的存储规则。
[建议 DCL22-C] 对无法被缓存的数据使用 volatile 限定。
[建议 DCL23-C] 确保相互可见的标识符具有唯一性。
表达式
[建议 EXP00-C] 使用括号明确运算符的优先级。
[建议 EXP02-C] 注意逻辑与、逻辑或运算符的短路行为。
[建议 EXP03-C] 不要假定结构体的大小等于其所有成员大小的总和。
[建议 EXP05-C] 不要去除指针的 const 限定。
[建议 EXP07-C] 不要在表达式中假定常量的值，避免削弱常量的作用。
[建议 EXP08-C] 确保指针运算的使用符合规范。
[建议 EXP09-C] 使用 sizeof 运算符获取类型或变量的大小。
[建议 EXP10-C] 不要依赖子表达式的求值顺序，以及副作用发生的顺序。
[建议 EXP11-C] 不要对带位域的结构体的内存布局做任何假定。
[建议 EXP12-C] 不要忽略函数的返回值。
[建议 EXP13-C] 将关系运算符和相等性运算符视为非结合性运算符处理。
[建议 EXP15-C] 不要将分号与 if、for 或 while 语句写在同一行。
[建议 EXP16-C] 不要将函数指针与常量值进行比较。
[建议 EXP19-C] if、for 或 while 语句的循环体需使用大括号包裹。
[建议 EXP20-C] 通过显式测试判断操作成功与否、布尔值真假以及数值相等性。
整数
[建议 INT00-C] 理解开发环境所使用的数据模型。
[建议 INT02-C] 理解整数转换规则。
[建议 INT04-C] 对来自污染源的整数值强制做范围限制。
[建议 INT07-C] 数值型字符仅使用显式的 signed 或 unsigned char 类型。
[建议 INT08-C] 校验所有整数值都在有效范围内。
[建议 INT09-C] 确保枚举常量映射到唯一的值。
[建议 INT10-C] 使用 % 运算符时，不要假定余数一定为正。
[建议 INT12-C] 不要对表达式中普通 int 类型位域的类型做任何假定。
[建议 INT13-C] 位运算符仅作用于无符号操作数。
[建议 INT14-C] 避免对同一数据同时执行位运算和算术运算。
[建议 INT16-C] 不要对有符号整数的二进制表示做任何假定。
[建议 INT17-C] 以与实现无关的方式定义整数常量。
[建议 INT18-C] 整数表达式在比较或赋值前，先在更大的类型宽度中完成求值。
浮点数
[建议 FLP00-C] 理解浮点数的运算局限性。
[建议 FLP02-C] 需要精确计算的场景，避免使用浮点数。
[建议 FLP03-C] 检测并处理浮点数运算错误。
[建议 FLP06-C] 执行浮点运算前，先将整数转换为浮点类型。
数组
[建议 ARR01-C] 获取数组大小时，不要对指针使用 sizeof 运算符。
[建议 ARR02-C] 即使初始化列表已隐式定义了数组边界，也需显式指定。
字符与字符串
[建议 STR00-C] 使用合适的类型表示字符。
[建议 STR02-C] 对传入复杂子系统的数据进行无害化处理。
[建议 STR03-C] 避免无意中截断字符串。
[建议 STR06-C] 不要假定 strtok() 不会修改解析的原字符串。
[建议 STR07-C] 字符串操作优先使用带边界检查的接口。
[建议 STR10-C] 不要拼接不同类型的字符串字面量。
[建议 STR11-C] 用字符串字面量初始化字符数组时，不要指定数组长度。
内存管理
[建议 MEM00-C] 内存的分配与释放需在同一模块、同一抽象层级中执行。
[建议 MEM01-C] 指针指向的内存被释放后，立即为指针赋新值。
[建议 MEM02-C] 内存分配函数的返回值，需立即强制转换为对应分配类型的指针。
[建议 MEM03-C] 清除可复用资源中存储的敏感信息。
[建议 MEM04-C] 警惕长度为 0 的内存分配操作。
[建议 MEM05-C] 避免在栈上分配大块内存。
[建议 MEM06-C] 确保敏感数据不会被写入磁盘。
[建议 MEM11-C] 不要假定堆空间是无限的。
[建议 MEM12-C] 函数执行出错需要释放资源并退出时，可考虑使用 goto 链处理。
输入输出
[建议 FIO02-C] 对来自污染源的路径名进行规范化处理。
[建议 FIO03-C] 不要对 fopen() 的行为和文件创建逻辑做任何假定。
[建议 FIO06-C] 创建文件时设置合适的访问权限。
[建议 FIO08-C] 对已打开的文件调用 remove() 时需谨慎。
[建议 FIO10-C] 使用 rename() 函数时需谨慎。
[建议 FIO11-C] 指定 fopen() 的 mode 参数时需谨慎。
[建议 FIO21-C] 不要在共享目录中创建临时文件。
[建议 FIO24-C] 不要打开已处于打开状态的文件。
环境
[建议 ENV01-C] 不要对环境变量的大小做任何假定。
信号
[建议 SIG02-C] 避免使用信号实现常规业务功能。
错误处理
[建议 ERR00-C] 采纳并实现一套统一、完善的错误处理策略。
[建议 ERR01-C] 检查 FILE 流错误时，优先使用 ferror() 而非 errno。
[建议 ERR06-C] 理解 assert() 和 abort() 的程序终止行为。
[建议 ERR07-C] 优先使用支持错误检查的函数，而非功能等价但无错误检查的函数。
应用程序编程接口
[建议 API01-C] 避免在内存中将字符串紧挨着敏感数据排布。
[建议 API02-C] 对数组进行读写操作的函数，需传入参数指定源或目标数组的大小。
[建议 API04-C] 提供一套统一、易用的错误检查机制。
[建议 API05-C] 使用兼容数组参数。
并发
[建议 CON01-C] 同步原语的获取与释放需在同一模块、同一抽象层级中执行。
[建议 CON05-C] 持有锁期间，禁止执行可能发生阻塞的操作。
杂项
[建议 MSC00-C] 在高警告级别下实现无警告编译。
[建议 MSC01-C] 保证代码逻辑的完整性。
[建议 MSC04-C] 统一使用注释，保证注释的可读性。
[建议 MSC05-C] 不要直接操作 time_t 类型的值。
[建议 MSC06-C] 警惕编译器优化带来的潜在问题。
[建议 MSC12-C] 检测并移除无效果或永远不会执行的代码。
[建议 MSC13-C] 检测并移除未使用的变量值。
[建议 MSC15-C] 不要依赖未定义行为。
[建议 MSC17-C] 每个 case 标签对应的语句块末尾，都必须有 break 语句。
[建议 MSC18-C] 程序代码中处理密码等敏感数据时需格外谨慎。
[建议 MSC20-C] 不要使用 switch 语句将控制流转移到复杂语句块内部。
[建议 MSC21-C] 使用健壮的循环终止条件。
[建议 MSC22-C] 安全使用 setjmp()、longjmp() 机制。
[建议 MSC24-C] 不要使用已弃用或过时的函数。
POSIX 扩展
[建议 POS04-C] 避免使用 PTHREAD_MUTEX_NORMAL 类型的互斥锁。
[建议 POS05-C] 通过创建沙箱限制对文件的访问。
微软 Windows 扩展
[建议 WIN00-C] 动态加载库时需明确指定库名。
[建议 WIN01-C] 不要强制终止程序执行。
[建议 WIN02-C] 创建子进程时需限制其权限。
[建议 WIN03-C] 理解句柄继承的机制。
[建议 WIN04-C] 考虑对函数指针进行加密处理。