规范说明

（1）代码总体原则 —— 清晰第一
清晰性是易于维护、易于重构的程序必需具备的特征。一般情况下，代码的可阅读性高于性能，只有确定性能是瓶颈时，才应该主动优化。
（2）代码总体原则 —— 简洁为美
简洁就是易于理解并且易于实现。代码越长越难以看懂，也就越容易在修改时引入错误。
（3）代码总体原则 ——代码风格
选择合适的风格，与代码原有风格保持一致 。 在公司已有编码规范的指导下，审慎地编排代码以使代码尽可能清晰。

一、头文件

对于C语言来说，头文件的设计体现了大部分的系统设计。不合理的头文件布局是编译时间过长的根因。合理的头文件划分体现了系统设计的思想。

原则1.1 头文件中适合放置接口的声明，不适合放置实现。

说明：
头文件是模块（Module）或单元（Unit）的对外接口。头文件中应放置对外部的声明，如对外提供的函数声明、宏定义、类型定义等。
内部使用的函数声明不应放在头文件中。
内部使用的宏、枚举、结构定义不应放入头文件中。
变量定义不应放在头文件中，应放在.c文件中。
变量的声明尽量不要放在头文件中，亦即尽量不要使用全局变量作为接口。
变量是模块或单元的内部实现细节，不应通过在头文件中声明的方式直接暴露给外部，应通过函数接口的方式进行对外暴露。即使必须使用全局变量，也只应当在.c中定义全局变量，在.h中仅声明变量为全局的。

原则1.2 头文件应当职责单一

原则1.3 头文件应向稳定的方向包含

说明：
头文件的包含关系是一种依赖，一般来说，应当让不稳定的模块依赖稳定的模块，从而当不稳定的模块发生变化时，不会影响（编译）稳定的模块。

规则1.1 每一个.c文件应有一个同名.h文件，用于声明需要对外公开的接口。

说明：
如果一个.c文件不需要对外公布任何接口，则其就不应当存在，除非它是程序的入口，如main函数所在的文件。
另外，一旦把私有定义、声明放到独立的头文件中，就无法从技术上避免别人include，难以保证这些定义最后真的只是私有的。
本规则反过来并不一定成立。有些特别简单的头文件，如命令ID定义头文件，不需要有对应的.c存在。

规则1.2 禁止头文件循环依赖

规则1.3 .c/.h文件禁止包含用不到的头文件

规则1.4 头文件应当自包含

说明：简单的说，自包含就是任意一个头文件均可独立编译。如果一个文件包含某个头文件，还要包含另外一个头文件才能工作的话，就会增加交流障碍，给这个头文件的用户增添不必要的负担。
注意：该规则需要与“.c/.h文件禁止包含用不到的头文件”规则一起使用，不能为了让a.h自包含，而在a.h中包含不必要的头文件。a.h要刚刚可以自包含，不能在a.h中多包含任何满足自包含之外的其他头文件。

规则1.5 总是编写内部#include保护符（#define 保护）

说明：多次包含一个头文件可以通过认真的设计来避免。如果不能做到这一点，就需要采取阻止头文件内容被包含多于一次的机制。通常的手段是为每个文件配置一个宏，当头文件第一次被包含时就定义这个宏，并在头文件被再次包含时使用它以排除文件内容。

规则1.6 禁止在头文件中定义变量

说明：在头文件中定义变量，将会由于头文件被其他.c文件包含而导致变量重复定义。

规则1.7 只能通过包含头文件的方式使用其他.c提供的接口，禁止在.c中通过extern的方式使用外部函数接口、变量

规则1.8 禁止在extern "C"中包含头文件

建议1.1 一个模块通常包含多个.c文件，建议放在同一个目录下，目录名即为模块名

建议1.2 如果一个模块包含多个子模块，则建议每一个子模块提供一个对外的.h，文件名为子模块名

建议1.3 同一产品统一包含头文件排列方式

二、函数

函数设计的精髓：编写整洁函数，同时把代码有效组织起来。
整洁函数要求：代码简单直接、不隐藏设计者的意图、用干净利落的抽象和直截了当的控制语句将函数有机组织起来。
代码的有效组织包括：逻辑层组织和物理层组织两个方面。逻辑层，主要是把不同功能的函数通过某种联系组织起来，主要关注模块间的接口，也就是模块的架构。物理层，无论使用什么样的目录或者名字空间等，需要把函数用一种标准的方法组织起来。例如：设计良好的目录结构、函数名字、文件组织等，这样可以方便查找。

原则2.1 一个函数仅完成一件功能

原则2.2 重复代码应该尽可能提炼成函数

规则2.1 避免函数过长，新增函数不超过50行（非空非注释行）

规则2.2 避免函数的代码块嵌套过深，新增函数的代码块嵌套不超过4层

说明：本规则仅对新增函数做要求，对已有的代码建议不增加嵌套层次。函数的代码块嵌套深度指的是函数中的代码控制块（例如：if、for、while、switch等）之间互相包含的深度。每级嵌套都会增加阅读代码时的脑力消耗，因为需要在脑子里维护一个“栈”（比如，进入条件语句、进入循环）。应该做进一步的功能分解，从而避免使代码的阅读者一次记住太多的上下文。

规则2.3 可重入函数应避免使用共享变量；若需要使用，则应通过互斥手段（关中断、信号量）对其加以保护

说明：可重入函数是指可能被多个任务并发调用的函数。在多任务操作系统中，函数具有可重入性是多个任务可以共用此函数的必要条件。共享变量指的全局变量和static变量。
编写C语言的可重入函数时，不应使用static局部变量，否则必须经过特殊处理，才能使函数具有可重入性。

规则2.4 对参数的合法性检查，由调用者负责还是由接口函数负责，应在项目组/模块内应统一规定。缺省由调用者负责

规则2.5 对函数的错误返回码要全面处理。

规则2.6 设计高扇入，合理扇出（小于7）的函数。

说明：
扇出是指一个函数直接调用其它函数的数目，而扇入是指有多少上级函数调用它。
扇出过大，表明函数过分复杂，需要控制和协调过多的下级函数；而扇出过小，例如：总是1，表明函数的调用层次可能过多，这样不利于程序阅读和函数结构的分析，并且程序运行时会对系统资源如堆栈空间等造成压力。通常函数比较合理的扇出（调度函数除外）通常是3~5。
扇出太大，一般是由于缺乏中间层次，可适当增加中间层次的函数。扇出太小，可把下级函数进一步分解多个函数，或合并到上级函数中。当然分解或合并函数时，不能改变要实现的功能，也不能违背函数间的独立性。
扇入越大，表明使用此函数的上级函数越多，这样的函数使用效率高，但不能违背函数间的独立性而单纯地追求高扇入。公共模块中的函数及底层函数应该有较高的扇入。
较良好的软件结构通常是顶层函数的扇出较高，中层函数的扇出较少，而底层函数则扇入到公共模块中。

规则2.7 废弃代码（没有被调用的函数和变量)要及时清除

建议2.1 函数不变参数使用cons

说明：不变的值更易于理解/跟踪和分析，把const作为默认选项，在编译时会对其进行检查，使代码更牢固/更安全。

建议2.2 函数应避免使用全局变量、静态局部变量和I/O操作，不可避免的地方应集中使用

说明：带有内部“存储器”的函数的功能可能是不可预测的，因为它的输出可能取决于内部存储器（如某标记）的状态。这样的函数既不易于理解又不利于测试和维护。

建议2.3 检查函数所有非参数输入的有效性，如数据文件、公共变量等

建议2.4 函数的参数个数不超过5个

建议2.5 除打印类函数外，不要使用可变长参函数

建议2.6 源文件范围内声明和定义的所有函数，除非外部可见，否则应该增加static关键字

说明：如果一个函数只是在同一文件中的其他地方调用，那么就用static声明。使用static确保只是在声明它的文件中是可见的，并且避免了和其他文件或库中的相同标识符发生混淆的可能性。
建议定义一个STATIC宏，在调试阶段，将STATIC定义为static，版本发布时，改为空，以便于后续的打热补丁等操作。
#ifdef _DEBUG
#define STATIC static
#else
#define STATIC
#endif

三、标识符命名与定义

原则3.1 标识符的命名要清晰、明了，有明确含义，同时使用完整的单词或大家基本可以理解的缩写，避免使人产生误解

原则3.2 除了常见的通用缩写以外，不使用单词缩写，不得使用汉语拼音

一些常见可以缩写的例子： 
argument 可缩写为 arg 
buffer 可缩写为 buff 
clock 可缩写为 clk 
command 可缩写为 cmd 
compare 可缩写为 cmp 
configuration 可缩写为 cfg 
device 可缩写为 dev 
error 可缩写为 err 
hexadecimal 可缩写为 hex 
increment 可缩写为 inc 
initialize 可缩写为 init 
maximum 可缩写为 max 
message 可缩写为 msg 
minimum 可缩写为 min 
parameter 可缩写为 para 
previous 可缩写为 prev 
register 可缩写为 reg 
semaphore 可缩写为 sem 
statistic 可缩写为 stat 
synchronize 可缩写为 sync 
temp 可缩写为 tmp  

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

规则3.1 产品/项目组内部应保持统一的命名风格

建议3.1 用正确的反义词组命名具有互斥意义的变量或相反动作的函数等

建议3.2 尽量避免名字中出现数字编号，除非逻辑上的确需要编号

建议3.3 平台/驱动等适配代码的标识符命名风格保持和平台/驱动一致

建议3.4 重构/修改部分代码时，应保持和原有代码的命名风格一致

建议3.5 文件命名统一采用小写字符

规则3.2 全局变量应增加“g_”前缀

规则3.3 静态变量应增加“s_”前缀

规则3.4 禁止使用单字节命名变量，但允许定义i、j、k作为局部循环变量

建议3.6 不建议使用匈牙利命名法

建议3.7 使用名词或者形容词＋名词方式命名变量

建议3.8 函数命名应以函数要执行的动作命名，一般采用动词或者动词＋名词的结构

建议3.9 函数指针除了前缀，其他按照函数的命名规则命名

规则3.5 对于数值或者字符串等等常量的定义，建议采用全大写字母，单词之间加下划线”_”的方式命名（枚举同样建议使用此方式定义）

规则3.6 除了头文件或编译开关等特殊标识定义，宏定义不能使用下划线”_”开头和结尾

四、变量

原则4.1 一个变量只有一个功能，不能把一个变量用作多种用途

原则4.2 结构功能单一；不要设计面面俱到的数据结构

原则4.3 不用或者少用全局变量

说明：单个文件内部可以使用static的全局变量，可以将其理解为类的私有成员变量。全局变量应该是模块的私有数据，不能作用对外的接口使用，使用static类型定义，可以有效防止外部文件的非正常访问。

规则4.1 防止局部变量与全局变量同名

规则4.2 通讯过程中使用的结构，必须注意字节序

说明：通讯报文中，字节序是一个重要的问题，cpu类型复杂多样，大小端、32位/64位的处理器也都有，如果结构会在报文交互过程中使用，必须考虑字节序问题。由于位域在不同字节序下，表现看起来差别更大，所以更需要注意。对于这种跨平台的交互，数据成员发送前，都应该进行主机序到网络序的转换；接收时，也必须进行网络序到主机序的转换。

规则4.3 严禁使用未经初始化的变量作为右值

建议4.1 构造仅有一个模块或函数可以修改、创建，而其余有关模块或函数只访问的全局变量，防止多个不同模块或函数都可以修改、创建同一全局变量的现象

建议4.2 使用面向接口编程思想，通过API访问数据：如果本模块的数据需要对外部模块开放，应提供接口函数来设置、获取，同时注意全局数据的访问互斥

说明：避免直接暴露内部数据给外部模型使用，是防止模块间耦合最简单有效的方法。

建议4.3 在首次使用前初始化变量，初始化的地方离使用的地方越近越好

建议4.4 明确全局变量的初始化顺序，避免跨模块的初始化依赖

建议4.5 尽量减少没有必要的数据类型默认转换与强制转换

五、宏、常量

规则5.1 用宏定义表达式时，要使用完备的括号

说明：因为宏只是简单的代码替换，不会像函数一样先将参数计算后，再传递。
示例：

规则5.2 将宏所定义的多条表达式放在大括号中

说明：更好的方法是多条语句写成do while(0)的方式

规则5.3 使用宏时，不允许参数发生变化

规则5.4 不允许直接使用魔鬼数字

说明：使用魔鬼数字的弊端：代码难以理解；如果一个有含义的数字多处使用，一旦需要修改这个数值，代价惨重。使用明确的物理状态或物理意义的名称能增加信息，并能提供单一的维护点。
解决途径：对于局部使用的唯一含义的魔鬼数字，可以在代码周围增加说明注释，也可以定义局部const变量，变量命名自注释。
对于广泛使用的数字，必须定义const全局变量/宏；同样变量/宏命名应是自注释的。
0作为一个特殊的数字，作为一般默认值使用没有歧义时，不用特别定义。

建议5.1 除非必要，应尽可能使用函数代替宏

说明：宏对比函数，有一些明显的缺点：
宏缺乏类型检查，不如函数调用检查严格。
宏展开可能会产生意想不到的副作用，如#define SQUARE(a) (a) * (a)这样的定义，如果是SQUARE(i++)，就会导致i被加两次；如果是函数调用double square(double a) {return a * a;}则不会有此副作用。
以宏形式写的代码难以调试难以打断点，不利于定位问题。
宏如果调用的很多，会造成代码空间的浪费，不如函数空间效率高。

建议5.2 常量建议使用const定义代替宏

建议5.3 宏定义中尽量不使用return、goto、continue、break等改变程序流程的语句

六、质量保证

原则6.1 代码质量保证优先原则

说明：
1、正确性，指程序要实现设计要求的功能。
2、简洁性，指程序易于理解并且易于实现。
3、可维护性，指程序被修改的能力，包括纠错、改进、新需求或功能规格变化的适应能力。
4、可靠性，指程序在给定时间间隔和环境条件下，按设计要求成功运行程序的概率。
5、可测试性，指软件发现故障并隔离、定位故障的能力，以及在一定的时间和成本前提下， 进行测试设计、测试执行的能力。
6、性能高效，指是尽可能少地占用系统资源，包括内存和执行时间。
7、可移植性，指为了在原来设计的特定环境之外运行，对系统进行修改的能力。
8、个人表达方式/个人方便性，指个人编程习惯。

原则6.2 要时刻注意易混淆的操作符

规则6.1 禁止内存操作越界

坚持下列措施可以避免内存越界：
（1）数组的大小要考虑最大情况，避免数组分配空间不够；
（2）避免使用危险函数sprintf /vsprintf/strcpy/strcat/gets；
（3）操作字符串，使用相对安全的函数snprintf/strncpy/strncat/fgets代替；
（4）使用memcpy/memset时一定要确保长度不要越界字符串考虑最后的’\0’，确保所有字符串是以’\0’结束指针加减操作时，考虑指针类型长度数组下标进行检查使用时sizeof或者strlen计算结构/字符串长度，避免手工计算。

规则6.2 禁止内存泄漏

坚持下列措施可以避免内存泄漏：
（1）异常出口处检查内存、定时器/文件句柄/Socket/队列/信号量/GUI等资源是否全部释放；
（2）删除结构指针时，必须从底层向上层顺序删除；
（3）使用指针数组时，确保在释放数组时，数组中的每个元素指针是否已经提前被释放了；
（4）避免重复分配内存；
（5）小心使用有return、break语句的宏，确保前面资源已经释放；
（6）检查队列中每个成员是否释放。

规则6.3 禁止引用已经释放的内存空间

坚持下列措施可以避免引用已经释放的内存空间：
（1）内存释放后，把指针置为NULL，使用内存指针前进行非空判断。
（2）耦合度较强的模块互相调用时，要仔细考虑其调用关系，防止已经删除的对象被再次使用。避免操作已发送消息的内存。

规则6.4 编程时，要防止差1错误

实例：

规则6.5 所有的if … else if结构应该由else子句结束；switch语句必须有default分支。

建议6.1 函数中分配的内存，在函数退出之前要释放

建议6.2 不要滥用goto语句

说明：goto语句会破坏程序的结构性，所以除非确实需要，最好不使用goto语句。可以利用goto语句方面退出多重循环；同一个函数体内部存在大量相同的逻辑但又不方便封装成函数的情况下，譬如反复执行文件操作，对文件操作失败以后的处理部分代码（譬如关闭文件句柄，释放动态申请的内存等等），一般会放在该函数体的最后部分，再需要的地方就
goto到那里，这样代码反而变得清晰简洁。实际也可以封装成函数或者封装成宏，但是这么做会让代码变得没那么直接明了。

建议6.3 时刻注意表达式是否会上溢、下溢

七、程序效率

原则7.1 在保证软件系统的正确性、简洁、可维护性、可靠性及可测性的前提下，提高代码效率。本章节后面所有规则和建议，都应在不影响前述可读性等质量属性的前提下实施

原则7.2 通过对数据结构、程序算法的优化来提高效率。

建议7.1 将不变条件的计算移到循环体外。

建议7.2 对于多维大数组，避免来回跳跃式访问数组成员。

建议7.3 创建资源库，以减少分配对象的开销

说明：例如，使用线程池机制，避免线程频繁创建、销毁的系统调用；使用内存池，对于频繁申请、释放的小块内存，一次性申请一个大块的内存，当系统申请内存时，从内存池获取小块内存，使用完毕再释放到内存池中，避免内存申请释放的频繁系统调用。

建议7.4 将多次被调用的 “小函数”改为inline函数或者宏实现

说明：如果编译器支持inline，可以采用inline函数。在做这种优化的时候一定要注意下面inline函数的优点：其一编译时不用展开，代码SIZE小。其二可以加断点，易于定位问题，例如对于引用计数加减的时候。其三函数编译时，编译器会做语法检查。

八、注释

原则8.1 优秀的代码可以自我解释，不通过注释即可轻易读懂

原则8.2 注释的内容要清楚、明了，含义准确，防止注释二义性

原则8.3 在代码的功能、意图层次上进行注释，即注释解释代码难以直接表达的意图，而不是重复描述代码

规则8.1 修改代码时，维护代码周边的所有注释，以保证注释与代码的一致性。不再有用的注释要删除

规则8.2 函数声明处注释描述函数功能、性能及用法，包括输入和输出参数、函数返回值、可重入的要求等；定义处详细描述函数功能和实现要点，如实现的简要步骤、实现的理由、设计约束等

规则8.3 全局变量要有较详细注释，包括对其功能、取值范围以及存取时注意事项等说明

规则8.4 避免在注释中使用缩写，除非是业界通用或子系统内标准化的缩写

规则8.5 进行DEBUG修改代码时，添加注释中应加入BUG id

九、排版与格式

规则9.1 程序块采用缩进风格编写，每级缩进为4个空格

规则9.2 相对独立的程序块之间、变量说明之后必须加空行

规则9.3 一条语句不能过长，如不能拆分需要分行写

规则9.4 多个短语句（包括赋值语句）不允许写在同一行内，即一行只写一条语句

规则9.5 在两个以上的关键字、变量、常量进行对等操作时，它们之间的操作符之前、之后或者前后要加空格；进行非对等操作时，如果是关系密切的立即操作符（如－>），后不应加空格

例子：

10、表达式

规则10.1 表达式的值在标准所允许的任何运算次序下都应该是相同的

说明：说明：除了少数操作符（函数调用操作符 ( )、&&、| |、? : 和 , （逗号））之外，子表达式所依据的运算次序是未指定的并会随时更改。注意，运算次序的问题不能使用括号来解决，因为这不是优先级的问题。将复合表达式分开写成若干个简单表达式，明确表达式的运算次序，就可以有效消除非预期副作用。
示例：
1、自增或自减操作符
x = b[i] + i++;
b[i] 的运算是先于还是后于 i ++ 的运算，表达式会产生不同的结果，把自增运算做为单独的语句，可以避免这个问题。
x = b[i] + i;
i ++;

2﹑函数参数
说明：函数参数通常从右到左压栈，但函数参数的计算次序不一定与压栈次序相同。
示例：x = func( i++, i); 应该修改代码明确先计算第一个参数：i++; x = func(i, i);

3、函数指针
说明：函数参数和函数自身地址的计算次序未定义。
p->task_start_fn(p++);
求函数地址p与计算p++无关，结果是任意值。必须单独计算p++：
p->task_start_fn§;
p++;

4﹑函数调用

编译器可能先计算fun1()，也可能先计算fun2()，由于x的结果依赖于函数fun1()/fun2()的计算次序（fun1()/fun2()被调用时修改和使用了同一个全局变量），则上面的代码存在问题。
应该修改代码明确fun1/ fun2的计算次序：
int x = fun1();
x = x + fun2();

5、嵌套赋值语句

说明：表达式中嵌套的赋值可以产生附加的副作用。不给这种能导致对运算次序的依赖提供任何机会的最好做法是，不要在表达式中嵌套赋值语句。

6、volatile访问

说明：限定符volatile表示可能被其它途径更改的变量，例如硬件自动更新的寄存器。编译器不会优化对volatile变量的读取。

示例：下面的写法可能无法实现作者预期的功能：
/* volume变量被定义为volatile类型*/
UINT16 x = ( volume << 3 ) | volume;

/* 在计算了其中一个子表达式的时候，volume的值可能已经被其它程序或硬件改变，导致另外一个子表达式的计算结果非预期，可能无法实现作者预期的功能 */
所以说volatile并不是可以解决所有的问题，例如：线程同步

7.避免把复合表达式与数学表达式混淆
　　
例如：if(a < b < c)
　　看着有点懵
　　有些人会认为是if((a < b) && (b < c))
　　然而呢，是这样的
　　If((a < b) < c)

建议10.1 函数调用不要作为另一个函数的参数使用，否则对于代码的调试、阅读都不利

建议10.2 赋值语句不要写在if等语句中，或者作为函数的参数使用

建议10.3 用括号明确表达式的操作顺序，避免过分依赖默认优先级

建议10.4 赋值操作符不能使用在产生布尔值的表达式上

11、安全性

原则11.1 对用户输入进行检查

说明：不能假定用户输入都是合法的，因为难以保证不存在恶意用户，即使是合法用户也可能由于误用误操作而产生非法输入。用户输入通常需要经过检验以保证安全，特别是以下场景：
1、用户输入作为循环条件
2、用户输入作为数组下标
3、用户输入作为内存分配的尺寸参数
4、用户输入作为格式化字符串
5、用户输入作为业务数据（如作为命令执行参数、拼装sql语句、以特定格式持久化）
这些情况下如果不对用户数据做合法性验证，很可能导致DOS、内存越界、格式化字符串漏洞、命令注入、SQL注入、缓冲区溢出、数据破坏等问题。
6、可采取以下措施对用户输入检查：
7、用户输入作为数值的，做数值范围检查
8、用户输入是字符串的，检查字符串长度
9、用户输入作为格式化字符串的，检查关键字“%”
10、用户输入作为业务数据，对关键字进行检查、转义

规则11.1 确保所有字符串是以NULL结束

说明：C语言中‟\0‟作为字符串的结束符，即NULL结束符。标准字符串处理函数（如strcpy()、strlen()）依赖NULL结束符来确定字符串的长度。没有正确使用NULL结束字符串会导致缓冲区溢出和其它未定义的行为。
为了避免缓冲区溢出，常常会用相对安全的限制字符数量的字符串操作函数代替一些危险函数。如：
用strncpy()代替strcpy()
用strncat()代替strcat()
用snprintf()代替sprintf()
用fgets()代替gets()
用vsprintf代替vsnprintf

规则11.2 不要将边界不明确的字符串写到固定长度的数组中

说明：边界不明确的字符串（如来自gets()、getenv()、scanf()的字符串），长度可能大于目标数组长度，直接拷贝到固定长度的数组中容易导致缓冲区溢出。

正确写法：计算字符串的实际长度，使用malloc分配指定长度的内存

规则11.3 避免整数溢出

规则11.4 避免符号错误

说明：有时从带符号整型转换到无符号整型会发生符号错误，符号错误并不丢失数据，但数据失去了原来的含义。
带符号整型转换到无符号整型，最高位（high-order bit）会丧失其作为符号位的功能。如果该带符号整数的值非负，那么转换后值不变；如果该带符号整数的值为负，那么转换后的结果通常是一个非常大的正数。

规则11.5：避免截断错误

说明：将一个较大整型转换为较小整型，并且该数的原值超出较小类型的表示范围，就会发生截断错误，原值的低位被保留而高位被丢弃。截断错误会引起数据丢失。使用截断后的变量进行内存操作，很可能会引发问题。

规则11.6：确保格式字符和参数匹配

规则11.7 避免将用户输入作为格式化字符串的一部分或者全部

说明：调用格式化I/O函数时，不要直接或者间接将用户输入作为格式化字符串的一部分或者全部。攻击者对一个格式化字符串拥有部分或完全控制，存在以下风险：进程崩溃、查看栈的内容、改写内存、甚至执行任意代码。

规则11.8 避免使用strlen()计算二进制数据的长度

说明：strlen()函数用于计算字符串的长度，它返回字符串中第一个NULL结束符之前的字符的数量。因此用strlen()处理文件I/O函数读取的内容时要小心，因为这些内容可能是二进制也可能是文本.

规则11.9 使用int类型变量来接受字符I/O函数的返回值

说明：字符I/O函数fgetc()、getc()和getchar()都从一个流读取一个字符，并把它以int值的形式返回。如果这个流到达了文件尾或者发生读取错误，函数返回EOF。fputc()、putc()、putchar()和ungetc()也返回一个字符或EOF。
如果这些I/O函数的返回值需要与EOF进行比较，不要将返回值转换为char类型。因为char
是有符号8位的值，int是32位的值。如果getchar()返回的字符的ASCII值为0xFF，转换为char类型后将被解释为EOF。因为这个值被有符号扩展为0xFFFFFFFF（EOF的值）执行比较。

确做法：使用int类型的变量接受getchar()的返回值。
对于sizeof(int) == sizeof(char)的平台，用int接收返回值也可能无法与EOF区分，这时要用feof()和ferror()检测文件尾和文件错误。

规则11.10 防止命令注入

说明：C99函数system()通过调用一个系统定义的命令解析器（如UNIX的shell，Windows的CMD.exe）来执行一个指定的程序/命令。类似的还有POSIX的函数popen()。 如果system()
的参数由用户的输入组成，恶意用户可以通过构造恶意输入，改变system()调用的行为。
示例：system(sprintf(“any_exe %s”, input)); 如果恶意用户输入参数： happy; useradd attacker
最终shell将字符串“any_exe happy; useradd attacker”解释为两条独立的命令：
正确做法：使用POSIX函数execve()代替system()。