Почему strlcpy и strlcat считают небезопасными?

Критика Ульриха основана на идее, что усечение строки, которая не обнаруживается программой, может привести к вопросам безопасности, через неверную логику. Поэтому быть безопасным, вам нужно проверить на усечение. Для этого для соединения строки означает, что вы выполняете проверку по строкам этого:

if (destlen + sourcelen > dest_maxlen)
{
    /* Bug out */
}

Теперь Strlcat эффективно делает эту проверку, если программист вспоминает, чтобы проверить результат - так что вы Можно Использовать его безопасно:

if (strlcat(dest, source, dest_bufferlen) >= dest_bufferlen)
{
    /* Bug out */
}

Точка Ульриха заключается в том, что поскольку вы должны иметь Destlen и SourceLen (или пересчитывают их, что это то, что strlcat Эффективно делает), вы также можете просто использовать более эффективную memcpy в любом случае:

if (destlen + sourcelen > dest_maxlen)
{
    goto error_out;
}
memcpy(dest + destlen, source, sourcelen + 1);
destlen += sourcelen;

(в вышеуказанном коде, DEST_MAXLEN - максимальная длина строки, которая может Хранится в DEST - один меньше, чем размер буфера . DEST_BUFFERLEN - полный размер Buffer ).

Когда люди говорят: « strcpy () опасно, используйте strncpy () вместо« (или аналогичных утверждений о strcat () и т. Д., Но Я собираюсь использовать strcpy () здесь, как мой фокус), они означают, что нет никаких границ, проверку в strcpy () . Таким образом, чрезмерно длительная строка приведет к перераспонаванию буфера. Они верны. Использование strncpy () В этом случае предотвратит перерасход буфера.

Я чувствую, что strncpy () Действительно не исправляет ошибки: это решает проблему, которую можно легко избежать, чтобы избежать хорошего программиста.

Как программист C, вы должны знать размер назначения, прежде чем пытаться скопировать строки. Это предположение в strncpy () и STRLCPY () последних параметров тоже: вы поставляете этот размер к ним. Вы также можете знать размер источника до скопирования строк. Затем, если пункт назначения недостаточно велик, не звонит strcpy () . Либо перераспределите буфер или сделайте что-нибудь еще.

Почему я не люблю strncpy () ?

• strncpy () - это плохое решение в большинстве случаев: ваша строка будет усечена без каких-либо уведомлений - я бы предпочел написать Дополнительный код, чтобы понять это, а затем пройти курс действий, которые я хочу взять, а не позволить некоторую функцию решить для меня о том, что делать.
• strncpy () очень неэффективно. Он пишет на каждый байт в буфере назначения. Вам не нужны эти тысячи '\ 0' в конце вашего пункта назначения.
• Это не пишет завершение '\ 0' , если пункт назначения недостаточно велик. Итак, вы должны сделать это самостоятельно. Сложность этого не стоит.

Теперь мы приходим к Strlcpy () . Изменения из strncpy () делают его лучше, но я не уверен, если удельное поведение strl * гарантирует свое существование: они слишком специфики. Вы все еще должны знать размер назначения. Это более эффективно, чем strncpy () , потому что он не обязательно пишет каждому байту в месте назначения. Но это решает проблему, которая может быть решена путем выполнения: * (((CHAR *) Mempcpy (DST, SRC, N)) = 0; .

Я не думаю, что кто-то говорит, что strlcpy () или STRLCAT () может привести к проблемам безопасности, что они (и я) говорят, что они могут привести к ошибкам Например, когда вы ожидаете, что полная строка будет написана вместо его части.

Основная проблема здесь: Сколько байтов копировать? Программист должен знать это, и если он не, strncpy () или STRLCPY () не спасет его.

STRLCPY () и STRLCAT () не являются стандартными, ни ISO C, ни POSIX. Таким образом, их использование в портативных программах невозможно. Фактически, strlcat () имеет два разных варианта: Реализация Solaris отличается от других для краевых чехлов, включающих длину 0. Это делает его еще менее полезным, чем иным образом.

Я думаю, что Ульрич и другие думают, что это даст ложное чувство безопасности. Случайно усеченные строки могут имеют последствия безопасности для других частей кода (например, если файловая система усекается, программа может не выполнять операции по предполагаемому файлу).

Существует два «проблема», связанных с использованием функций STRL:

1. , вы должны проверить возвратные значения Чтобы избежать усечения.

Стандартные черновые писатели C1x и Drepper утверждают, что программисты не проверят возвращаемое значение. DREPPER говорит, что мы должны как-то знать длину и использовать memcpy, и избегайте функций строки, в целом в соответствии со строковыми функциями утверждают, что безопасная strcpy должна возвращать ненулевой на усечение, если иное не указано флаг _truncate . Идея состоит в том, что люди, скорее всего, используют, если (strncpy_s (...)).

2. нельзя использовать на некруточных строках.

Некоторые люди считают, что строковые функции никогда не должны сбояться даже при кормите божественные данные. Это влияет на стандартные функции, такие как strlen, которые в нормальных условиях будут SegFault.Новый стандарт будет включать в себя много таких функций. Проверки курса имеют штраф производительности.

Повышенные полагаемые стандартные функции состоят в том, что вы можете знать, сколько данных вы пропустили strl функциями.

Во-первых, STRLCPY никогда не предназначался в качестве безопасной версии strncpy (и strncpy , никогда не был предназначен как Безопасная версия strcpy ). Эти две функции полностью не связаны. strncpy - это функция, которая не имеет отношения к строкам C-Strings (I.e. NULL-LECLING) вообще. Тот факт, что он имеет префикс ... префикс в его названии, является просто исторической ошибкой. История и цель strncpy является известным и хорошо документированным. Это функция, созданная для работы с так называемыми строками «фиксированной ширины» (не с C-Strings), используемых в некоторых исторических версиях файловой системы UNIX. Некоторые программисты сегодня запутаются по своему названию и предполагают, что strncpy как-то должен служить функцией копирования C-строки с ограниченным длиной («безопасный» STRCPY strcpy ), который в Реальность является полной ерундой и приводит к плохому программированию практики. C Стандартная библиотека в своей текущей форме не имеет функции для копирования C-String C-String Limited-длины. Это где STRLCPY вписывается . STRLCPY действительно является настоящей функцией копирования длиной, созданной для работы с C-Strings. STRLCPY правильно делает все функцию копирования на ограниченную длину. Единственная критика, которую можно нацелиться на то, что она состоит в том, что она сожалеет, а не стандартная.