Bài 56.526 phút đọc

Lập trình phòng vệ

Sau bài này bạn sẽ làm được

Phân biệt assert với kiểm tra lúc chạy
Xác định ranh giới tin cậy của mã bạn viết
Viết kiểm tra đầu vào ở đúng chỗ
Tránh lập trình phòng vệ quá đà

Lập trình phòng vệ không phải là kiểm tra mọi thứ ở mọi nơi. Đó là biết chính xác chỗ nào dữ liệu chuyển từ không tin được sang tin được, và dồn toàn bộ việc kiểm tra vào đúng chỗ đó.

#Hai loại kiểm tra

	assert	Kiểm tra lúc chạy
Bắt loại lỗi nào	Lỗi lập trình của bạn	Dữ liệu xấu từ bên ngoài
Có thể xảy ra trong bản phát hành không	Không, nếu mã đúng	Có, đó là chuyện thường
Còn trong bản phát hành không	Không, NDEBUG xoá nó	Có, luôn luôn
Khi thất bại thì	Dừng chương trình	Trả về lỗi cho người gọi
Ví dụ	Con trỏ nội bộ NULL	Người dùng nhập chữ vào ô số
Nếu bỏ đi	Lỗi khó tìm hơn	Lỗ hổng bảo mật

Cùng một hàm, hai loại kiểm tra

/* TAI ranh gioi: du lieu tu nguoi dung. Kiem tra THAT. */
int phan_tich_tuoi(const char *s, int *ra) {
    if (s == NULL || ra == NULL) return -1;         /* kiem tra luc chay */
    char *cuoi;
    long t = strtol(s, &cuoi, 10);
    if (cuoi == s || *cuoi != '\0') return -1;
    if (t < 0 || t >= 200)          return -1;
    *ra = (int)t;
    return 0;
}

/* BEN TRONG: doi so den tu ma cua chinh ban, da qua kiem tra. */
static void in_the(const NguoiDung *nd) {
    assert(nd != NULL);                             /* khang dinh */
    assert(nd->tuoi >= 0 && nd->tuoi < 200);
    printf("%s, %d tuoi\n", nd->ten, nd->tuoi);
}

/* Neu assert trong in_the that bai, do KHONG phai loi cua nguoi
   dung. Do la loi cua BAN: mot duong nao do vao in_the ma khong
   qua phan_tich_tuoi. Dung ngay la dung, vi ban vua phat hien
   mot lo hong trong thiet ke cua minh. */

#assert biến mất

khang_dinh.c

#include <assert.h>

static int so_lan_goi = 0;
static int tang_dem(void) { return ++so_lan_goi; }

static int chia(int a, int b) {
    assert(b != 0 && "chia cho 0");
    return a / b;
}

int main(void) {
    printf("che do: %s\n",
#ifdef NDEBUG
           "NDEBUG (assert bi tat)"
#else
           "go loi (assert bat)"
#endif
    );

    printf("chia(10, 2) = %d\n", chia(10, 2));

    /* TAC DUNG PHU trong assert: bien mat cung voi assert */
    assert(tang_dem() > 0);
    printf("so_lan_goi = %d\n", so_lan_goi);

    printf("sap goi chia(1, 0)\n");
    fflush(stdout);
    printf("chia(1, 0) = %d\n", chia(1, 0));
    return 0;
}

terminal

# Ban go loi

gcc -std=c11 -Wall -Wextra -g khang_dinh.c -o kd_go.exe

./kd_go.exe

che do: go loi (assert bat)
chia(10, 2) = 5
so_lan_goi = 1
sap goi chia(1, 0)
Assertion failed!

Program: ...\kd_go.exe
File: khang_dinh.c, Line 11

Expression: b != 0 && "chia cho 0"

echo $?

terminal

# Ban phat hanh

gcc -std=c11 -Wall -Wextra -O2 -DNDEBUG khang_dinh.c -o kd_ph.exe

khang_dinh.c:8:12: warning: 'tang_dem' defined but not used [-Wunused-function]
 static int tang_dem(void) { return ++so_lan_goi; }
            ^~~~~~~~

./kd_ph.exe

che do: NDEBUG (assert bi tat)
chia(10, 2) = 5
so_lan_goi = 0
sap goi chia(1, 0)
Illegal instruction

echo $?

Không nên

assert(tang_dem() > 0); /* tac dung phu */ assert(malloc(n) != NULL); /* ro ri, va bien mat */ assert(dong_tep(t) == 0); /* tep khong duoc dong! */ assert(so_luong-- > 0); /* gia tri thay doi */ /* Quy tac: BIEU THUC TRONG assert PHAI KHONG CO TAC DUNG PHU. Doc no nhu mot cau hoi, khong phai mot menh lenh. */

Nên

int n = tang_dem(); assert(n > 0); void *p = malloc(co); if (p == NULL) return -1; /* kiem tra that, khong assert */ int r = dong_tep(t); assert(r == 0); assert(so_luong > 0); --so_luong;

Mẹo chuỗi trong assert

assert(b != 0 && "chia cho 0");
/*             ^^^^^^^^^^^^^^^^ mot chuoi hang luon khac 0,
   nen no khong doi ket qua dieu kien. Nhung no XUAT HIEN trong
   thong diep loi: */

/* Expression: b != 0 && "chia cho 0"  */

/* Khong co no, ban chi thay "b != 0" va phai doan y nghia. */

/* Va C11 co static_assert cho dieu kien biet duoc luc dich: */
#include <assert.h>
static_assert(sizeof(int) == 4, "ma nay gia dinh int 4 byte");
static_assert(TEN_TOI_DA >= 8,  "ten toi da qua nho");

/* static_assert KHONG bien mat voi NDEBUG, vi no la kiem tra
   luc DICH. Dung no moi khi dieu kien biet duoc luc dich. */

Bạn có nên bật NDEBUG trong bản phát hành không

/* Lap luan cho NDEBUG:
     - assert ton thoi gian chay
     - mot assert that bai lam sap ung dung truoc mat nguoi dung
     - thong diep assert lo ten tep va so dong ra ngoai

   Lap luan chong NDEBUG:
     - assert that bai nghia la chuong trinh DA sai. Chay tiep
       voi trang thai hong con nguy hiem hon la dung.
     - chi phi thuong khong do duoc, tru trong vong lap nong.
     - loi chi xuat hien o ban phat hanh la loi kho tim nhat.

   Thuc te cua cac du an lon:
     Linux kernel   BUG_ON van con trong ban phat hanh
     SQLite         assert TAT o ban phat hanh, nhung co bo kiem
                    thu cuc ky day du bu lai
     Chrome         CHECK() luon bat, DCHECK() chi ban go loi

   Loi khuyen: dung hai muc.
     assert()        tat voi NDEBUG, dung cho kiem tra dat tien
     KIEM_TRA()      LUON bat, dung cho bat bien quan trong  */

#define KIEM_TRA(dk)                                             \
    do { if (!(dk)) {                                            \
        fprintf(stderr, "kiem tra that bai: %s tai %s:%d\n",     \
                #dk, __FILE__, __LINE__);                        \
        abort();                                                 \
    } } while (0)

#Ranh giới tin cậy

Ranh giới tin cậy

Đường phân chia giữa phần dữ liệu bạn kiểm soát và phần bạn không. Mọi dữ liệu vượt qua ranh giới theo chiều vào phải được kiểm tra đầy đủ tại đúng chỗ đó, và sau đó mã bên trong được phép tin nó.

Nguồn dữ liệu	Tin được không	Kiểm tra ở đâu
Đối số dòng lệnh	Không	Hàm phân tích đối số
Biến môi trường	Không	Chỗ đọc chúng
Nội dung tệp	Không, kể cả tệp của chính bạn	Hàm phân tích tệp
Gói tin mạng	Không, tuyệt đối không	Hàm giải khung
Đầu vào bàn phím	Không	Hàm đọc
Kết quả của thư viện bên thứ ba	Một phần	Ngay sau lời gọi
Hàm static trong cùng tệp	Có	assert là đủ
Hằng số trong mã của bạn	Có	static_assert nếu cần

ranh_gioi.c

#define TEN_TOI_DA 32
typedef struct { char ten[TEN_TOI_DA]; int tuoi; } NguoiDung;

enum { OK = 0, E_DAI = 1, E_TUOI = 2, E_RONG = 3 };

/* ==== TAI ranh gioi: du lieu tu ben ngoai, kiem tra THAT ==== */
static int phan_tich(const char *dong, NguoiDung *ra) {
    const char *phay = strchr(dong, ',');
    if (phay == NULL) return E_RONG;

    size_t ten_co = (size_t)(phay - dong);
    if (ten_co == 0)          return E_RONG;
    if (ten_co >= TEN_TOI_DA) return E_DAI;     /* >= chu khong phai > */

    memcpy(ra->ten, dong, ten_co);
    ra->ten[ten_co] = '\0';

    char *cuoi;
    long t = strtol(phay + 1, &cuoi, 10);
    if (cuoi == phay + 1) return E_TUOI;
    if (t < 0 || t >= 200) return E_TUOI;
    ra->tuoi = (int)t;
    return OK;
}

/* ==== BEN TRONG ranh gioi: doi so da duoc kiem tra ==== */
static void in_the(const NguoiDung *nd) {
    assert(nd != NULL);
    assert(nd->tuoi >= 0 && nd->tuoi < 200);
    printf("  [the] %s, %d tuoi\n", nd->ten, nd->tuoi);
}

terminal

gcc -std=c11 -Wall -Wextra -O2 ranh_gioi.c -o rg.exe

./rg.exe

dau vao: "an,20"
  [the] an, 20 tuoi
dau vao: "binh,999"
  TU CHOI: tuoi ngoai pham vi
dau vao: ",25"
  TU CHOI: ten rong
dau vao: "mot_cai_ten_rat_rat_rat_rat_rat_dai_qua_gioi_han,30"
  TU CHOI: ten qua dai
dau vao: "chi,khong-phai-so"
  TU CHOI: tuoi ngoai pham vi

Chú ý dấu lớn hơn hoặc bằng

if (ten_co >= TEN_TOI_DA) return E_DAI;

/* Neu viet  >  thay vi  >=  thi voi ten_co == 32:
     memcpy(ra->ten, dong, 32);       ghi day mang
     ra->ten[32] = '\0';              ghi RA NGOAI mang 32 phan tu

   Mot byte. Do la tat ca nhung gi can de:
     - de len truong tuoi ngay sau no trong struct
     - hoac de len mot phan cua con tro tren ngan xep

   Loi "lech mot" tai ranh gioi tin cay la lop lo hong pho bien
   nhat trong C. Bai 59.1 di sau vao no.

   Meo kiem tra: voi mang co N phan tu va cho them NUL,
   do dai TOI DA cua chuoi la N-1, va dieu kien la  >= N. */

Vẽ ranh giới lên mã của bạn

/* Danh dau ro rang trong ma, bang binh luan hoac bang ten module: */

src/
  vao/                  <- RANH GIOI. Moi thu o day KHONG tin duoc.
    doc_tep.c           kiem tra day du, tra ve loi
    doc_mang.c
    phan_tich_dong.c
  loi_ich/              <- BEN TRONG. Tin duoc, dung assert.
    tinh_toan.c
    quy_tac.c
  ra/                   <- RANH GIOI ra: khu doc, thoat ky tu
    ghi_tep.c
    ghi_mang.c

/* Va mot quy uoc dat ten:
     ham bat dau bang  vao_   -> kiem tra day du
     ham bat dau bang  noi_   -> gia dinh doi so hop le

   Doc mot ham la biet ngay no thuoc ben nao. */

#Kiểm tra ở đúng chỗ

Kiểm tra ở mọi nơi

int tinh_a(const NguoiDung *nd) { if (nd == NULL) return -1; if (nd->tuoi < 0) return -1; return tinh_b(nd); } int tinh_b(const NguoiDung *nd) { if (nd == NULL) return -1; if (nd->tuoi < 0) return -1; return tinh_c(nd); } int tinh_c(const NguoiDung *nd) { if (nd == NULL) return -1; if (nd->tuoi < 0) return -1; return nd->tuoi * 2; } /* Ba van de: 1. Chi phi: kiem tra ba lan cho mot dieu 2. Ma noi: mot nua so dong la kiem tra 3. TE NHAT: gio tinh_c PHAI tra ve int, va -1 la mot gia tri hop le cua "tuoi * 2"? Kieu tra ve bi o nhiem boi mot truong hop khong bao gio xay ra. */

Kiểm tra một lần ở ranh giới

/* Ranh gioi: kiem tra MOT lan */ int xu_ly_dong(const char *dong) { NguoiDung nd; if (phan_tich(dong, &nd) != OK) return -1; return tinh_a(&nd); /* tu day tro di, tin duoc */ } /* Ben trong: khang dinh, khong kiem tra */ static int tinh_a(const NguoiDung *nd) { assert(nd && nd->tuoi >= 0); return tinh_b(nd); } static int tinh_b(const NguoiDung *nd) { return tinh_c(nd); } static int tinh_c(const NguoiDung *nd) { return nd->tuoi * 2; } /* tinh_c gio tra ve DUNG cai no tinh, khong co gia tri loi. */

Nhưng hàm công khai của thư viện thì khác

/* Neu ham cua ban nam trong header cong khai, thi NGUOI GOI
   la ben ngoai ranh gioi tin cay cua ban. Ban khong biet ho
   se truyen gi.

   So sanh: */

/* Ham noi bo, static: assert la du */
static void ds_moc(Ds *d, size_t i) {
    assert(d != NULL && i < d->co);
    ...
}

/* Ham cong khai: kiem tra that, va tra ve loi */
int ds_lay(const Ds *d, size_t i, int *ra) {
    if (d == NULL || ra == NULL) return -1;
    if (i >= d->co)              return -1;
    *ra = d->pt[i];
    return 0;
}

/* SQLite lam dung the: moi ham sqlite3_* cong khai deu kiem tra
   doi so va tra ve SQLITE_MISUSE neu sai, trong khi ham noi bo
   thi dung assert. */

Bốn thứ luôn phải kiểm tra, không có ngoại lệ

/* 1. Gia tri tra ve cua moi ham co the that bai */
FILE *t = fopen(dd, "rb");
if (t == NULL) { ... }

void *p = malloc(n);
if (p == NULL) { ... }

/* 2. Moi phep tinh KICH THUOC truoc khi cap phat */
if (so_luong > SIZE_MAX / sizeof(Muc)) return -1;    /* tran nhan */
Muc *m = malloc(so_luong * sizeof(Muc));

/* Hoac dung calloc, no tu kiem tra tran: */
Muc *m = calloc(so_luong, sizeof(Muc));

/* 3. Moi chi so truoc khi dung, khi no den tu ben ngoai */
if (i >= co) return -1;
return mang[i];

/* 4. Moi do dai chuoi truoc khi chep */
size_t n = strlen(nguon);
if (n >= sizeof dich) return -1;
memcpy(dich, nguon, n + 1);

/* Bon thu nay chiem phan lon cac lo hong CVE trong ma C.
   Bai 59.1 va 59.2 di sau vao tung cai. */

#Phòng vệ quá đà

Ba kiểu phòng vệ làm hại nhiều hơn lợi

Một: nuốt lỗi

int ds_them(Ds *d, int x) {
    if (d == NULL) return 0;            /* tra ve "thanh cong"?! */
    ...
}

/* Nguoi goi truyen NULL do mot loi logic, va ham noi "ok".
   Loi bi giau di, chuong trinh chay tiep voi du lieu thieu,
   va van de lo ra o mot cho khac hoan toan, muon hon nhieu.

   Nuot loi bien mot loi DE TIM thanh mot loi KHONG THE TIM. */

/* Dung: bao ra ngoai, mot cach nao do */
int ds_them(Ds *d, int x) {
    if (d == NULL) return -1;           /* hoac assert, tuy tang */
    ...
}

Hai: giá trị mặc định che giấu

int doc_cau_hinh_so(const char *khoa) {
    const char *gt = tim(khoa);
    if (gt == NULL) return 0;           /* mac dinh im lang */
    return atoi(gt);                    /* atoi cung tra 0 khi loi */
}

/* Nguoi dung go sai ten khoa trong tep cau hinh.
   Chuong trinh chay voi gia tri 0 va khong noi gi.
   Ho mat nua ngay tim xem vi sao thiet lap cua ho khong co tac dung.

   Dung: phan biet ba truong hop */
int doc_cau_hinh_so(const char *khoa, int mac_dinh, int *ra) {
    const char *gt = tim(khoa);
    if (gt == NULL) { *ra = mac_dinh; return 0; }     /* khong co: ok */
    char *cuoi;
    long v = strtol(gt, &cuoi, 10);
    if (*cuoi != '\0') return -1;                     /* co nhung SAI */
    *ra = (int)v;
    return 0;
}

Ba: kiểm tra thứ không thể sai

void f(void) {
    int x = 5;
    if (x != 5) {                   /* khong bao gio dung */
        ghi_nhat_ky("x khong phai 5");
        return;
    }
    ...
}

/* Ma khong bao gio chay:
     - khong bao gio duoc kiem thu
     - lam giam do phu that su
     - lam nguoi doc tuong x CO THE khac 5
     - va khi ai do sua ma, nhanh do co the bat dau chay
       voi hanh vi chua ai kiem tra

   Neu ban tin no khong the sai: assert. Neu ban khong tin:
   do khong phai kiem tra thua, va ban nen xu ly that. */

Kiểm tra NULL trước free là thừa

if (p != NULL) free(p);         /* thua */
free(p);                        /* free(NULL) la hop le, khong lam gi */

/* Chuan C noi ro: "If ptr is a null pointer, no action occurs."
   Dong  if  chi lam ma dai hon va lam nguoi doc tuong free(NULL)
   nguy hiem.

   Cung ap dung cho ham huy CUA BAN: hay lam chung an toan voi NULL,
   dung bat nguoi goi kiem tra. */

void ds_huy(Ds *d) {
    if (d == NULL) return;          /* mot dong nay o TRONG ham */
    free(d->pt);
    free(d);
}

/* Bay gio moi nhanh loi chi can goi  ds_huy(d)  ma khong quan tam
   d co NULL hay khong. Do la giam do phuc tap that su. */

Ghi giả định vào tài liệu, không chỉ vào assert

/**
 * Tinh trung binh cua mot mang.
 *
 * @param a  mang, KHONG duoc NULL
 * @param n  so phan tu, PHAI lon hon 0
 * @return   trung binh cong
 *
 * Ham nay KHONG kiem tra doi so. Nguoi goi chiu trach nhiem.
 */
double trung_binh(const double *a, size_t n) {
    assert(a != NULL && n > 0);
    double s = 0;
    for (size_t i = 0; i < n; ++i) s += a[i];
    return s / (double)n;
}

/* Cau "Ham nay KHONG kiem tra doi so" la mot phan cua HOP DONG.
   No cho nguoi goi biet ho phai lam gi, va cho nguoi bao tri
   biet vi sao khong co kiem tra o day.

   Khong co no, mot nguoi tot bung se them if (a == NULL) return 0;
   va bien mot loi lap trinh thanh mot ket qua sai im lang. */

Tự làm thử

Chạy khang_dinh.c ở cả hai chế độ và giải thích vì sao so_lan_goi khác nhau.
Tìm trong mã của bạn một assert có tác dụng phụ và sửa nó.
Vẽ ranh giới tin cậy của một chương trình bạn đã viết, và kiểm tra xem việc kiểm tra có nằm đúng ở đó không.
Đổi >= thành > trong ranh_gioi.c và tìm hậu quả bằng công cụ phát hiện lỗi bộ nhớ.
Cài macro KIEM_TRA luôn bật và dùng nó cho ba bất biến quan trọng trong dự án của bạn.
Tìm một chỗ nuốt lỗi trong mã của bạn và làm cho lỗi lộ ra.

Trình chấm điểm tự động sẽ được bổ sung ở giai đoạn sau. Hiện tại bạn tự chạy thử trên máy.

Tóm tắt

assertcho lỗi lập trình, kiểm tra lúc chạy cho dữ liệu bên ngoài; câu hỏi phân loại là "nếu sai thì lỗi của ai".
NDEBUG xoá cả biểu thức bên trong assert, nên biểu thức đó không được có tác dụng phụ.
Kiểm tra đầy đủ tại ranh giới tin cậy, rồi tin dữ liệu ở bên trong.
Hàm công khai của thư viện luôn phải kiểm tra thật, vì người gọi ở ngoài ranh giới.
Ba kiểu phòng vệ có hại: nuốt lỗi, mặc định im lặng, và kiểm tra thứ không thể sai.