如何在不执行的情况下捕获未定义的行为？

Question

在我的软件中，我在运行时使用来自用户的输入值并执行一些数学运算。为简单起见，请考虑以下示例：

int multiply(const int a, const int b)
{
    if(a >= INT_MAX || B >= INT_MAX)
        return 0;
    else
        return a*b;
}

我可以检查输入值是否大于限制，但是如何检查结果是否超出限制？ a = INT_MAX - 1 和 b = 2 很有可能。由于输入完全有效，它将执行makes my program meaningless 的未定义代码。这意味着在此之后执行的任何代码都是随机的，最终可能导致崩溃。那么在这种情况下我该如何保护我的程序呢？

Answer 1

这真的取决于你在这种情况下真正想要做什么。

对于 long 或 long long（或 int64_t）是 64 位值，int 是 32 位值的机器，你可以这样做（我假设 long 是这里是 64 位）：

long x = static_cast<long>(a) * b;
if (x > MAX_INT || x < MIN_INT)
   return 0;
else
   return static_cast<int>(x);

通过将一个值转换为long，另一个也必须进行转换。如果这让你更快乐，你可以同时施放。这里的开销，高于正常的 32 位乘法是现代 CPU 上的几个时钟周期，您不太可能找到更安全的解决方案，也就是更快。 [在某些编译器中，您可以向if 添加属性，表示对于返回x 的常见情况，不太可能鼓励分支预测“使其正确”]

显然，这不适用于类型与您可以处理的最大整数一样大的值（尽管您可以使用浮点数，但它可能仍然有点狡猾，因为浮点数的精度是还不够——如果您不需要整个整数范围，可以使用一些“安全余量”来完成[例如，与小于LONG_INT_MAX / 2] 进行比较。）。这里的惩罚有点糟糕，尤其是浮点数和整数之间的转换并不“令人愉快”。

另一种选择是使用“已知无效值”实际测试相关代码，只要其余代码“正常”即可。确保使用相关的编译器设置对此进行测试，因为更改编译器选项会改变行为。请注意，您的代码必须处理“当65536 * 100000 是负数时我们该怎么做”，而您的代码没想到会这样。也许添加类似：

 int x = a * b;
 if (x < 0) return 0; 

[当然，这只有在您不期望负面结果时才有效]

您还可以检查生成的汇编代码并了解实际处理器的体系结构 [这里的关键是了解“溢出是否会陷阱”——在 x86、ARM、68K、29K 中默认情况下不会出现这种情况。我认为 MIPS 有一个“trap on overflow”的选项，并确定它是否可能导致问题 [1]，并添加类似

的内容

#if (defined(__X86__) || defined(__ARM__))
 #error This code needs inspecting for correct behaviour 
#endif
    return a * b;

但是，这种方法的一个问题是，即使是代码或编译器版本中最轻微的变化也可能会改变结果，因此将其与上面的测试方法相结合很重要（并确保您测试的是实际的生产代码，不是一些被黑的小例子）。

[1] 未定义“未定义行为”以允许 C 在具有捕获整数数学溢出的处理器上“工作”，以及 a * b 在有符号值中溢出时的事实当然是除非你有一个定义好的数学系统（二进制补码，一个补码，不同的符号位），否则很难确定——所以为了避免在这些情况下“定义”确切的行为，C 标准说“它是未定义的”。这并不意味着它肯定会变坏。

Answer 2

特别是a 乘以b 的数学上正确的方法来检测它是否会溢出是计算两个值的log₂。如果它们的总和高于结果的最高可表示值的 log2，则存在溢出。

log₂(a) + log₂(b) < log₂(UINT_MAX)

难点在于快速计算整数的 log2。为此，可以使用几种位旋转技巧，例如计数位，计数前导零（某些处理器甚至有相关指令）。这个网站有几个实现 https://graphics.stanford.edu/~seander/bithacks.html#IntegerLogObvious

最简单的实现可能是：

unsigned int log2(unsigned int v)
{
  unsigned int r = 0;

  while (v >>= 1) 
    r++;
  return r;
}

在你的程序中你只需要检查then

 if(log2(a) + log2(b) < MYLOG2UINTMAX)
   return a*b;
 else
   printf("Overflow");

签名的情况类似，但必须专门处理否定的情况。

编辑：我的解决方案不完整，并且有一个错误，使测试比必要的更严重。如果 log₂ 函数返回浮点值，则该等式实际上有效。在实现中，我将值限制为无符号整数。这意味着完全有效的乘法被拒绝。为什么？因为log2(UINT_MAX) 被截断 log₂(UINT_MAX)=log₂(4294967295)≈31.9999999997 截断为 31。

我们可以更改实现以替换要比较的常量

#define MYLOG2UINTMAX (CHAR_BIT*sizeof (unsigned int))

Answer 3

你可以试试这个：

if ( b > ULONG_MAX / a )        // Need to check a  != 0 before this division  
   return 0;                    //a*b invoke UB
else
   return a*b;