学习MISRA C之三_原创文档.pdfVIP

学习MISRAC之三:指针结构体联合体的安全规范

指针赋予了C编程最大的灵活性;结构体使得C程序整齐而紧凑;联合体在某些要求注重效率

的场合有精彩的表现.这三个要素是C语言的精华.

然而精华并不意味着完美。C语言在赋予程序员足够的灵活性的同时，也给了程序员许多犯

错的机会。所以，有必要关注指针，结构体和联合体的实现细节，从而保障程序的安全性。

在此，第一部分介绍MISRA-C:2004中与指针相关的部分规则，第二部分讲解结构体和联

合体的操作

规范。下文凡是未加特别说明的都是强制(required)规则，个别推荐(advisory)规则则加了

推荐“”的提示.

指针的安全规范

MISRA-C:2004关于指针的规范主要分为三个部分：指针的类型转换规则,指针运算的规则

和指针的有效性规则。

指针的类型转换

指针类型转换是个高风险的操作，所以应该尽量避免进行这个操作。MISRA-C对其中可能

造成严重错误的情况做了严格的限定，选择其中两条做简要分析。

规则11.4(推荐)指向不同数据类型的指针之间不能相互转化。

考察下面的程序

uint8_t*p1;

uint32_t*p2;

p2=(uint32_t*)p1;

/*注:uint8_t表示8位无符号整型，uint32_t表示32位无符号整型*/

程序员希望将从p1单元开始的4个字节组成一个32位的整型来参与运算.

如果CPU允许各种数据对象存放在任意的存储单元，则以上转换没有问题。但某些CPU

对某些(种)数据

类型加强了对齐限制，要求这些数据对象占用一定的地址空间，比如某些字节寻址的CPU

会要求32位

（4字节)整型存放在4的整数倍地址上(也就是所谓的addressalighment地址对齐).在这个

前提下

,思考程序中的指针转化，假设p1一开始指向的是0x0003单元(对uint8_t型的整数没有对

齐要求),则

执行最后一行强制转换后，p2到底指向哪个单元就无法预料了.

规则11.5指针转换过程中不允许丢失指针的constvolatile属性

按照如下定义指针

uint16_tx;

uint16_t*constcpi=x;/*const指针*/

unit16_t*const*pcpi;/*指向const指针的指针*/

constuint16_t**ppci;/*指向const整数指针的指针*/

uint16_t**ppi;

constuint16_t*pci;/*指向const整型的指针*/

volatileuint16_t*pvi;/*指向volatile整型的指针*/

unit16_t*pi;

则一下指针转换是允许的

pi=cpi;

以下指针转换是不允许的

pi=(uint16_t*)pci;

pi=(uint16_t*)pvi;

ppi=(uint16_t**)pcpi;

ppi=(uint16_t**)ppci;

以上非法指针类型转换将会丢失const或者volatile类型。丢失const属性

将有可能导致在对只读内容进行写操作，编译器不会发出警告，编译器将对不具有

volatitle属性的变量做优化;丢失volatile属性,编译器的优化可能导致程序员

预先设计的硬件时序操作失效，这样的错误很难发现。关于const和volatile

关键字的详细左右，读者可参考ISOC获取更多信息.

指针的运算

ISOC标准中，对指向数组成员的指针运算（包括算术运算，比较等）作了规范定义，除此

以外的

指针运算属于未定义(undifined）范围,具体实现有赖于具体编译器件，其安全性无法得到保

障，

MISRA-C中对指针运算的合法范围作了如下限定.

规则17.1只有指向数组的指针才允许进行算术运算。

(注:其实此处的算术运算子仅仅有限定于指针加减某个整数，比如ppoint=point-5,

ppoint++等)

规则17.2只有指向同一个数组的两个指针才允许相减.

(两个