Kodi i viteve 1980 që fuqizon besueshmërinë moderne – dhe gabimet që bën ende

Kodi për disa module Erlang/OTP është më i vjetër se shumica e zhvilluesve modernë. Këto skedarë janë patriarkët e vërtetë dixhitalë. Për dekada, ata kanë siguruar që transaksionet bankare, rrjetet telefonike dhe sistemet e mesazheve të funksionojnë siç duhet. Ne kemi vendosur të shikojmë nën kapakun e kësaj gjuhe të gjatë për të parë se çfarë saktësisht qëndron prapa linjave që miliona përdorues mbështeten sot. Hyrje Para se të kalojmë në diskutimin e paralajmërimeve, do të doja të thosha disa fjalë për projektin. Udhëtimi i Erlang filloi në vitin 1986 në një nga laboratorët e Ericsson.Joe Armstrong ishte duke eksperimentuar me Prolog ndërsa po përpiqej të ndërtonte një program telefonie. është një gjuhë programimi e projektuar për sistemet tolerante ndaj defekteve ku dështimi është i papranueshëm. Mendoni për një çelës telefonik ku një thirrje e humbur llogaritet si një emergjencë, ose një transaksion bankar që duhet të kalojë pa marrë parasysh çfarë. Këto janë detyrat për të cilat përdoret. Erlangë Erlang shkon dorë në dorë me , një kornizë që ofron mjete të fuqishme, modele dhe sjellje për ndërtimin e aplikacioneve të shpërndara, tolerante ndaj gabimeve.Ky paketë mjetesh e integruar mundëson që sistemet e shkruara me të të funksionojnë vazhdimisht për vite pa u ndalur kurrë. Platforma e Hapur e Telekomunikacionit (OTP) Ne kemi ndërtuar projektin duke ndjekur këto Ne e kemi kontrolluar në Branch Përdorimi dhe të Ne nuk kemi pasur probleme me ndërtimin e projektit, kështu që kudos për zhvilluesit. Udhëzime maint-28 Analizë PvS-Studio Kodi i Visual Studio Ky artikull përfshin vetëm paralajmërime të nivelit të lartë dhe të mesëm. Kjo përfundon hyrjen tonë. Tani, le të kalojmë te paralajmërimet. Ne do t'i ndajmë ato në tre kategori: Gabimet e logjikës gabimet kritike të Gabimet e kujtesës Gabime logjike Fragment N1 Paralajmërimi i PVS-Studio: Ekzistojnë nën-ekspresione identike '(!esock_is_integer((env), (argv[3])))' në të majtë dhe në të djathtë të operatorit 'annoo. Në 501 prim_socket_nif.c 6035 static ERL_NIF_TERM nif_sendfile(ErlNifEnv* env, int argc, const ERL_NIF_TERM argv[]) { .... BOOLEAN_T a2ok; if ((! (a2ok = GET_INT64(env, argv[2], &offset64))) || (! GET_UINT64(env, argv[3], &count64u))) { if ((! IS_INTEGER(env, argv[3])) || (! IS_INTEGER(env, argv[3]))) return enif_make_badarg(env); if (! a2ok) return esock_make_error_integer_range(env, argv[2]); else return esock_make_error_integer_range(env, argv[3]); } .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Në kod, zhvilluesit donin të konvertonin argumentet e tretë dhe të katërt në llojet 64-bit (të nënshkruarit dhe të papërshkruarit, respektivisht). Kodi i përcaktuar: .... if ((! IS_INTEGER(env, argv[2])) || (! IS_INTEGER(env, argv[3]))) return enif_make_badarg(env); .... Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Fragment N2 Paralajmërimi i PVS-Studio: Ekzistojnë nën-ekspresionet identike 'n->type == ycf_node_type_on_save_yield_state_code' në të majtë dhe në të djathtë të operatorit 'allach. Në 501 ycf_node.c 218 në dispozicion static void uniqify_local_vars_in_node(ycf_node* n) { if (n->type == ycf_node_type_code_scope) { uniqify_local_vars_in_scope(&n->u.code_scope); } else if(n->type == ycf_node_type_on_restore_yield_state_code) { uniqify_local_vars_in_scope(&n->u.special_code_block .code.if_statement->u.code_scope); } else if (n->type == ycf_node_type_on_save_yield_state_code || n->type == ycf_node_type_on_save_yield_state_code || n->type == ycf_node_type_on_destroy_state_code || n->type == ycf_node_type_on_return_code || n->type == ycf_node_type_on_destroy_state_or_return_code) { uniqify_local_vars_in_scope(&n->u.special_code_block .code.if_statement->u.code_scope); } .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Këtu është një tjetër çështje interesante kopje-paste. ne kemi funksioni, i cili në mënyrë recursive trajton nyjet e pemëve dhe gjen zonat e dukshmërisë me variablat lokale. Pastaj thërret funksionin e unifikimit të emrit të variabël për secilin prej këtyre zonave. Gjirokastër, The Kjo gjendje është dyfishuar pas Operatorët e uniqify_local_vars_in_node else if n->type == ycf_node_type_on_save_yield_state_code || Për fat të keq, nuk kam një zgjidhje të duhur për këtë fragment. Duke gjykuar nga zinxhirin e krahasimit, vlerat e listës së mëposhtme renditen në rendin që janë deklaruar: typedef enum { .... ycf_node_type_on_save_yield_state_code, ycf_node_type_on_restore_yield_state_code, ycf_node_type_on_destroy_state_code, ycf_node_type_on_return_code, ycf_node_type_on_destroy_state_or_return_code } ycf_node_type; Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Megjithatë, të konstante është kontrolluar në të mëparshme Pra, unë mendoj se ka një kontroll të dyfishtë këtu, pas të gjitha, dhe ne mund ta fshijmë atë. ycf_node_type_on_restore_yield_state_code else if Fragment N3 Paralajmërimi i PVS-Studio: Tipo e mundshme në drejtimin e një emri makro të paracaktuar. ' macro is similar to ' “Është V1040 WIN_32 WIN32 Shërbimi i Shërbimit të Shërbimit të Shërbimit 13506 static int tcp_send_error(tcp_descriptor* desc, int err) { /* EPIPE errors usually occur in one of three ways: * 1. We write to a socket when we've already shutdown() the write side. * On Windows the error returned for this is ESHUTDOWN * rather than EPIPE. * 2. The TCP peer sends us an RST through no fault of our own (perhaps * by aborting the connection using SO_LINGER) and we then attempt * to write to the socket. On Linux and Windows we would actually * receive an ECONNRESET error for this, but on the BSDs, Darwin, * Illumos and presumably Solaris, it's an EPIPE. * 3. We cause the TCP peer to send us an RST by writing to a socket * after we receive a FIN from them. Our first write will be * successful, but if the they have closed the connection (rather * than just shutting down the write side of it) this will cause their * OS to send us an RST. Then, when we attempt to write to the socket * a second time, we will get an EPIPE error. On Windows we get an * ECONNABORTED. * * What we are going to do here is to treat all EPIPE messages that aren't * of type 1 as ECONNRESET errors. This will allow users who have the * show_econnreset socket option enabled to receive {error, econnreset} on * both send and recv operations to indicate that an RST * has been received. */ #ifdef __WIN_32__ if (err == ECONNABORTED) err = ECONNRESET; #endif if (err == EPIPE && !(desc->tcp_add_flags & TCP_ADDF_SHUTDOWN_WR_DONE)) err = ECONNRESET; return tcp_send_or_shutdown_error(desc, err); } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Ky është një rast mjaft i pazakontë për të kontrolluar nëse një projekt kompilon nën Windows. Përveç kësaj, [ ], [ ], etc.), but this one is unique. This looks very much like a simple typo (most likely, it should be ) të 1 2 3 __WIN32__ Por pse kjo është e vërtetë?Nga kurioziteti, unë kërkova për Për të parë se çfarë mund të gjeni, ja rezultatet: "__WIN_32__" Siç mund ta shihni, nuk ka pothuajse asnjë rezultat.Është qesharake që një nga lidhjet çon në skedarin që po shikojmë Unë kapur përmes projektit për të gjetur asnjë përkufizime të ngjashme makro. Unë gjithashtu mendova se ajo mund të ndërtohet në disa kompilator, si MinGW. për fat të keq, failed. After trying to understand the macro's purpose, I believe this code is flawed. Burimet e Debian Eksperimentet Si një korrigjim, unë sugjeroj përdorimin e kontrollit që kam gjetur më parë në pjesët e tjera të projektit: static int tcp_send_error(tcp_descriptor* desc, int err) { .... #if defined(__WIN32__) || defined(_WIN32) || defined(_WIN32_) if (err == ECONNABORTED) err = ECONNRESET; #endif .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Fragment N4 Paralajmërimi i PVS-Studio: Logjika operative e kodit nuk korrespondon me formatimin e tij. deklarata e dytë gjithmonë do të ekzekutohet. V640 të Përgjigje: C 246 int main(int argc, char** argv) { .... if (argc > 2 && strcmp(argv[1], "+P") == 0) { PUSH2("+P", argv[2]); argc--, argv++; argc--, argv++; } else PUSH2("+P", "1000000"); .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Këtu është një shembull interesant i një gabimi të zakonshëm të kodimit që mund të jetë e vështirë për të zbuluar më vonë. Strukturë : PUSH2 #define QUOTE(s) s #define PUSH(s) eargv[eargc++] = QUOTE(s) #define PUSH2(s, t) PUSH(s); PUSH(t) Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Uh-huh, kjo është një makro që zgjerohet në dy konstrukte. Le të zgjerojmë kodin si një preprocesor do të: int main(int argc, char** argv) { .... if (argc > 2 && strcmp(argv[1], "+P") == 0) { eargv[eargc++] = "+P"; eargv[eargc++] = argv[2]; argc--, argv++; argc--, argv++; } else eargv[eargc++] = "+P"; eargv[eargc++] = "1000000"; .... } Enter fullscreen mode Exit fullscreen mode As a result, if the check evaluates to , vetëm detyra e parë do të ekzekutohet me kusht, ndërsa e dyta gjithmonë do të ndodhë pas degës. false Shkruani dhe përdorni makro Zgjidhja e përsosur do të ishte për të hequr qafe e tyre, por le të pajtohemi për një korrigjim më pak radikal. ndërtuar kur ata kanë nevojë për të kombinuar disa veprime në një brenda një makro. tërheqë bugs do {...} while (0) #define PUSH2(s, t) do { PUSH(s); PUSH(t); } while (0) Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Fragment N5 Paralajmërimi i PVS-Studio: The condition 'i >= 0' of loop is always true. V654 në Prishtinë Kërkesa për kthim.cpp 236 ERL_NIF_TERM wxeReturn::make_array_objs(wxAuiPaneInfoArray& arr, WxeApp *app, const char *cname) { ERL_NIF_TERM head, tail; ERL_NIF_TERM class_name = enif_make_atom(env, cname); tail = enif_make_list(env, 0); for (unsigned int i = arr.GetCount() - 1; i >= 0; i--) { head = make_ref(app->getRef((void *) &arr.Item(i),memenv), class_name); tail = enif_make_list_cell(env, head, tail); } return tail; } Enter fullscreen mode Exit fullscreen mode Take a look at the e tij, duke i kushtuar vëmendje të veçantë gjendjes së tij. variabël të induksionit është nga lloji me një gamë vlerash të , rrjedha bëhet e pafundme. Pas rrjedha iteron me , variabla bëhet e barabartë me si rezultat i reduktimit, dhe cikli vazhdon. for i unsigned int [0; UINT_MAX] i == 0 UINT_MAX Let's fix the code as follows: for (int64_t i = arr.GetCount() - 1; i >= 0; i--) { .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Paralajmërime të ngjashme: V654 The condition 'i >= 0' of loop is always true. wxe_return.cpp 248 V654 Gjendja 'i >= 0' e buxhetit është gjithmonë e vërtetë. wxe_return.cpp 260 Fragment N6 The PVS-Studio warning: Përdorimi i 'nëse (A) {...} ndryshe nëse (A) {...}' model është zbuluar. Ka një probabilitet të pranisë së gabimit logjik. linjat e kontrollit: 2903, 3053. 517 të erl_bif_info.c 2903 BIF_RETTYPE system_info_1(BIF_ALIST_1) { .... if (is_tuple(BIF_ARG_1)) { // L2778 .... } else if (BIF_ARG_1 == am_scheduler_id) { // L2782 .... } .... else if (BIF_ARG_1 == am_garbage_collection) { // L2903 .... } else if (BIF_ARG_1 == am_fullsweep_after) { // L2921 .... } else if (BIF_ARG_1 == am_garbage_collection) { // L3053 .... } else if (BIF_ARG_1 == am_instruction_counts) { // L3056 .... } .... else if (ERTS_IS_ATOM_STR("halt_flush_timeout", BIF_ARG_1)) { // L3552 .... } } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Analizuesi ka zbuluar disa degë me kontrolle identike në një funksion që përmban një numër të madh Deklarata - Rreth . Each of them, however, has different logic: the and Duke pasur parasysh numrin e degëve dhe diferencën prej 150 rreshtave midis kopjeve, nuk është çudi që kjo mund të ndodhë.Analiza statike ndihmon në parandalimin e rasteve të tilla. if-else if 800 lines long Kontrolli i parë Kontrolli i dytë Fragment N7 Paralajmërimi i PVS-Studio: A part of conditional expression is always false: (arity == 0). V560 Bllokim 3145 BIF_RETTYPE delete_element_2(BIF_ALIST_3) { .... ptr = tuple_val(BIF_ARG_2); arity = arityval(*ptr); ix = signed_val(BIF_ARG_1); if ((ix arity) || (arity == 0)) { BIF_ERROR(BIF_P, BADARG); } .... } Enter fullscreen mode Exit fullscreen mode Këtu, ne kemi një shembull që përfshin matematikë. analizuesi na informon se Fjalët e para janë gjithmonë të gabuara.Pse? arity == 0 Nëse rrjedha e kontrollit arrin pikën ku ky subekspresion vlerësohet, ne do të dimë se dy subekspresionet e mëparshme janë Ne gjithashtu mund të mësojmë gjërat e mëposhtme: false ix >= 1 ix = 1 arity I'll also leave fixing this code to the developers, since my only suggestion is to remove the condition. Critical errors Fragment N8 PVS-Studio paralajmëron se: Vlera e indeksit 'prefix_len' mund të arrijë në 262. Në 557 erl_alloc_util.c 5375 Vlera e indeksit 'prefix_len' mund të arrijë në 262. Në 557 erl_alloc_util.c 5378 Vlera e indeksit 'prefix_len' mund të arrijë në 262. Në 557 erl_alloc_util.c 5381 #define MAX_ATOM_CHARACTERS 255 static void make_name_atoms(Allctr_t *allctr) { char alloc[] = "alloc"; char realloc[] = "realloc"; char free[] = "free"; char buf[MAX_ATOM_CHARACTERS]; size_t prefix_len = sys_strlen(allctr->name_prefix); if (prefix_len > MAX_ATOM_CHARACTERS + sizeof(realloc) - 1) erts_exit(ERTS_ERROR_EXIT, "Too long allocator name: %salloc\n" allctr->name_prefix); sys_memcpy((void *) buf, (void *) allctr->name_prefix, prefix_len); sys_memcpy((void *) &buf[prefix_len], (void *) alloc, sizeof(alloc) - 1); allctr->name.alloc = am_atom_put(buf, prefix_len + sizeof(alloc) - 1); sys_memcpy((void *) &buf[prefix_len], (void *) realloc, sizeof(realloc) - 1); allctr->name.realloc = am_atom_put(buf, prefix_len + sizeof(realloc) - 1); sys_memcpy((void *) &buf[prefix_len], (void *) free, sizeof(free) - 1); allctr->name.free = am_atom_put(buf, prefix_len + sizeof(free) - 1); } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Ne kemi një funksion që gjeneron emra për funksionet e alokimit dhe të dealokimit bazuar në prefiksin e kaluar në të. Një buffer 255-byte përdoret për të gjeneruar ato. Duke gjykuar nga përmbajtja e funksionit, nuk do të ketë terminator null në bufferin e gjeneruar, pasi passes the total size of the generated string. am_atom_put Gjëja e parë që zhvilluesit bënë ishte llogaritja e madhësisë së prefiksit. dhe gjatësia e string (postfix më të gjatë), function is called. MAX_ATOM_CHARACTERS realloc noreturn Pastaj ata kopjuan prefiksin në tampon, shtuan postfixin dhe kaluan zinxhirin në Zhvilluesit kryen të gjitha këto veprime në mënyrë sekuenciale për të gjitha postfixes: të dhe . am_atom_put alloc realloc free A mund ta gjeni kapjen? Kontrolli i kthimit të hershëm është kryer gabimisht. Buferi duhet të ketë hapësirë të mjaftueshme për të shkruar postfix më të gjatë, që është shtatë karaktere. Nëse rreshti i prefiksit është midis 256 dhe 262 karaktere të gjata, kthimi i hershëm nuk ndodh, kështu që Funksioni shfrytëzon bufferin.Kjo operacion ka sjellje të papërcaktuar. sys_memcpy Assuming that the Funksioni punon me strings jo më shumë se Le të rregullojmë kodin si më poshtë: am_atom_put MAX_ATOM_CHARACTERS if (prefix_len > MAX_ATOM_CHARACTERS - sizeof(realloc) + 1) Enter fullscreen mode Exit fullscreen mode Tani, gjatësia maksimale e prefix është 248 karaktere. Kur shkruani postfix maksimale, overflow nuk do të ndodhë. Paralajmërime të ngjashme: V557 Array overrun is possible. The value of 'i' index could reach 40. ycf_lexer.c 493 V557 Array overrun is possible. The value of 'n' index could reach 16. erl_call.c 1663 Fragment N9 Unë do të doja të prezantoj këtë shembull në një mënyrë të pazakontë. së pari, le të shohim këtë funksion: static const char* event_state_flag_to_str(EventStateFlags f, const char *buff, int len) { switch ((int)f) { case ERTS_EV_FLAG_CLEAR: return "CLEAR"; case ERTS_EV_FLAG_USED: return "USED"; /* other cases that return string literals */ default: snprintf((char *)buff, len, "ERROR(%d)", f); return buff; } } Enter fullscreen mode Exit fullscreen mode The function converts the për t’u përmendur në një rresht. për jo- branches, returns a string literal. Otherwise, the function creates a string in the provided buffer and returns a pointer to it. Note how exactly it does this: the buffer forcibly discards constness. According to the C standard, this is allowed only if the source buffer hasn't been declared as (C11 , C23 ) të event_state_flag_to_str EventStateFlags default switch const 6.7.3.6 7.7 Të gjitha Is this really the case? Let's take a look at the invocation point: static ERTS_INLINE void print_flags(erts_dsprintf_buf_t *dsbufp, EventStateFlags f) { const char buff[64]; if (f & ERTS_EV_FLAG_WANT_ERROR) { erts_dsprintf(dsbufp, "WANTERR|"); f &= ~ERTS_EV_FLAG_WANT_ERROR; } erts_dsprintf(dsbufp, "%s", event_state_flag_to_str(f, buff, sizeof(buff))); } Enter fullscreen mode Exit fullscreen mode Funksioni në fjalë thirret duke kaluar tamponin e vazhdueshëm si argumentin e dytë. Për fat të keq, ne marrim sjellje të papërcaktuar. Ne e gjetëm këtë gabim duke përdorur analizuesin, por ai lëshoi një paralajmërim konfuz: Uninitialized buffer 'buff' used. Consider checking the second actual argument of the 'event_state_flag_to_str' function. V614 të erl_check_io.c 2833 Le të rregullojmë kodin duke hequr konstancën nga buffer: static ERTS_INLINE void print_flags(erts_dsprintf_buf_t *dsbufp, EventStateFlags f) { char buff[64]; if (f & ERTS_EV_FLAG_WANT_ERROR) { erts_dsprintf(dsbufp, "WANTERR|"); f &= ~ERTS_EV_FLAG_WANT_ERROR; } erts_dsprintf(dsbufp, "%s", event_state_flag_to_str(f, buff, sizeof(buff))); } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Unë gjithashtu sugjeroj që të ndryshojë function signature, so the parameter can take a Kjo e bën të qartë se funksioni mund të modifikojë bufferin e kaluar tek ai.Ne nuk do të thyejmë shumë kod në proces pasi funksioni ekziston vetëm në skedarin e kompiluar dhe është shënuar si . event_state_flag_to_str char* static Fragment N10 The PVS-Studio warning: Anëtari i klasës së pa-initializuar 'a' përdoret kur fillon klasën bazë 'BeamAssemblerCommon'. V1050 të beam_asm.hpp 87 class BeamAssemblerCommon : public ErrorHandler { BaseAssembler &assembler; protected: BeamAssemblerCommon(BaseAssembler &assembler); .... }; struct BeamAssembler : public BeamAssemblerCommon { BeamAssembler() : BeamAssemblerCommon(a) { /* .... */ } protected: a64::Assembler a; .... }; Enter fullscreen mode Exit fullscreen mode This fragment contains a small class hierarchy where a reference to a non-static member function of the derived class, , is passed to the constructor of the base class, . This operation won't cause any issues as long as the base class constructor doesn't interact with this member function. Why? The lifetime of an object from a derived class starts when the required initializer in the initialization list has been executed or, if there's no initializer, when the control flow enters the constructor body. BeamAssembler BeamAssemblerCommon With this information in mind, let's take a look at the base class constructor. It doesn't use this object, right? Right? BeamAssemblerCommon::BeamAssemblerCommon(BaseAssembler &assembler_) : assembler(assembler_), .... { .... #ifdef DEBUG assembler.addDiagnosticOptions(DiagnosticOptions::kValidateAssembler); #endif assembler.addEncodingOptions(EncodingOptions::kOptimizeForSize | EncodingOptions::kOptimizedAlign); .... } Enter fullscreen mode Exit fullscreen mode Nope :) A non-static member function is called on an object of a derived class via a reference when its lifetime has not yet begun. Again, we get undefined behavior. Unë gjithashtu e gjej të vështirë për të sugjeruar një korrigjim në këtë rast, kështu që unë do të lë atë për zhvilluesit. Memory errors Fragment N11 Paralajmërimi i PVS-Studio: Funksioni "i lirë" thirret dy herë për shpërndarjen e të njëjtit hapësirë të kujtesës. Pjesë 586 Kërkesa.al 668 int main(int argc, char *argv[]) { int fd; char *p = NULL; ei_cnode ec; .... int i = 0; ei_x_buff reply; .... if (ei_rpc(&ec, fd, "c", "c", p, i, &reply) < 0) { free(p); ei_x_free(&reply); fprintf(stderr,"erl_call: can't compile file %s\n", fname); } free(p); /* FIXME complete this code FIXME print out error message as term if (!erl_match(erl_format("{ok,_}"), reply)) { fprintf(stderr,"erl_call: compiler errors\n"); } */ ei_x_free(&reply); .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Duke gjykuar nga emri, is a . A negative number is returned if the operation fails. If the remote call fails, some resources are cleaned up. The Pointer është kaluar në function and an error is logged to Pastaj, pavarësisht nga rezultati i thirrjes së funksionit, treguesi kalon në again. Memory is released twice. ei_rpc Procedura e largët thirrje p free stderr free The fix is pretty simple: either stop the program execution or set the freed pointers to zero. To fix the issue, I would interrupt execution here: if (ei_rpc(&ec, fd, "c", "c", p, i, &reply) < 0) { free(p); ei_x_free(&reply); fprintf(stderr,"erl_call: can't compile file %s\n", fname); return 1; } free(p); Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Fragment N12 Paralajmërimi i PVS-Studio: Pointer 'pkey' u përdor para se të verifikohej kundër nullptr. linjat e kontrollit: 581, 582. V595 Kërçovë 581 static int get_pkey_public_key(ErlNifEnv *env, const ERL_NIF_TERM argv[], int algorithm_arg_num, int key_arg_num, EVP_PKEY **pkey, ERL_NIF_TERM *err_return) { .... if (enif_is_map(env, argv[key_arg_num])) { password = get_key_password(env, argv[key_arg_num]); *pkey = ENGINE_load_public_key(e, id, NULL, password); if (!pkey) assign_goto(*err_return, err, EXCP_BADARG_N(env, key_arg_num, "Couldn't get public key from engine")); } /* other branches */ ret = 1; done: .... return ret; err: .... *pkey = NULL; ret = 0; goto done; } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë We have quite an interesting code fragment here. The attempts to extract the public key to the fifth out parameter. It returns if successful and Nëse jo, në rastin e fundit, çelësi publik është gjithashtu zero. function 1 0 The analyzer warns that, in one of the function branches, the pointer is dereferenced before being checked for validity. However, other branches don't seem to have such checks. We can conclude that the function has the following contract: "The parameter must never be equal to a ." We can confirm this by searching for calls to this function in the same file ([ ], [ ], [ ])—the variable address is passed everywhere. pkey pkey nullptr 1 2 3 Në fakt, zhvilluesit synuan të trajtojnë rezultatin e gabuar të Funksionon duke kërcyer në Megjithatë, ata bënë një tip duke harruar të vënë një asterisk para Një kompjuter modern do të këtë kontroll në lëshimin. si rezultat, funksioni do të kthehet , dhe një tregues zero do të përfundojë në parametrin e pestë. ENGINE_load_public_key err ! Optimizëm larg 1 Le të rregullojmë kontrollin: .... *pkey = ENGINE_load_public_key(e, id, NULL, password); if (!*pkey) assign_goto(*err_return, err, EXCP_BADARG_N(env, key_arg_num, "Couldn't get public key from engine")); .... Enter fullscreen mode Exit fullscreen mode Fragment N13 We often receive messages saying that the analyzer warns about passing a null pointer to . After all, the standard states that nothing terrible will happen. We even wrote an about a similar case. free Artikujt Yes, that's fine, but such code is probably suspicious. That helped us find an interesting memory leak in the code. Let's take a look at it. Paralajmërimi i PVS-Studio: Pointer null kalon në funksionin 'i lirë'. V575 Erl_misc_utils.c 264 Përgjigje void erts_cpu_info_destroy(erts_cpu_info_t *cpuinfo) { if (cpuinfo) { cpuinfo->configured = 0; cpuinfo->online = 0; cpuinfo->available = 0; #ifdef HAVE_PSET_INFO if (cpuinfo->cpuids) free(cpuinfo->cpuids); #endif cpuinfo->topology_size = 0; if (cpuinfo->topology) { cpuinfo->topology = NULL; free(cpuinfo->topology); } free(cpuinfo); } } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë In this fragment, the Pointer është vendosur në mënyrë të qartë për before calling Si rezultat, operacioni i çlirimit të kujtesës është i kotë, sepse Kjo rezulton në rrjedhje të kujtesës, sepse blloku origjinal i kujtesës që pointed to is never freed. cpuinfo->topology NULL free free(NULL) cpuinfo->topology We can fix the issue by swapping the operations: if (cpuinfo->topology) { free(cpuinfo->topology); cpuinfo->topology = NULL; } Enter fullscreen mode Exit fullscreen mode Fragment N14 Paralajmërimi i PVS-Studio: Funksioni u braktis pa lëshuar treguesin e "entry".Një rrjedhje e kujtesës është e mundur. V773 wxe_gl.cpp 88 typedef struct _wxe_glc { wxGLCanvas *canvas; wxGLContext *context; } wxe_glc; void setActiveGL(wxeMemEnv *memenv, ErlNifPid caller, wxGLCanvas *canvas, wxGLContext *context) { ErlNifUInt64 callId = wxe_make_hash(memenv->tmp_env, &caller); wxe_glc * entry = glc[callId]; gl_active_index = callId; gl_active_pid = caller; if (!entry) { entry = (wxe_glc *) malloc(sizeof(wxe_glc)); entry->canvas = NULL; entry->context = NULL; } if (entry->canvas == canvas && entry->context == context) return; entry->canvas = canvas; entry->context = context; glc[gl_active_index] = entry; .... } Enter fullscreen mode Exit fullscreen mode Në të Funksioni i tij, i Pointer është deklaruar dhe inicializuar nëpërmjet një elementi array. Nëse ky element është një pointer null, kujtesa është caktuar duke përdorur Në fund të fundit, rezultatet do të krahasohen, nëse do të vlerësohet Një kthim i hershëm do të ndodhë. megjithatë, në qoftë se ndarja dinamike ka ndodhur, kujtesa nuk do të lirohet. setActiveGL entry malloc true Po, një situatë e tillë është mjaft e rrallë dhe nuk ka gjasa të ndodhë, sepse kërkon një seri të tërë ngjarjesh: when the function is called, zero pointers are passed as the third and fourth arguments. cc[callId] përmban një tregues null. However, we can ensure that a leak will never occur, not even theoretically. Let's modify the code a little: ErlNifUInt64 callId = wxe_make_hash(memenv->tmp_env, &caller); wxe_glc * entry = glc[callId]; gl_active_index = callId; gl_active_pid = caller; bool new_alloc = false; if (!entry) { entry = (wxe_glc *) malloc(sizeof(wxe_glc)); entry->canvas = NULL; entry->context = NULL; new_alloc = true; } if (entry->canvas == canvas && entry->context == context) { if (new_alloc) { free(entry); } return; } .... Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë Similar warnings: V773 Funksioni u braktis pa mbyllur skedarin e referuar me dorezën 'f'. V773 Pointer 'erl_errno_p' është caktuar vlera dy herë pa lëshuar kujtesën. V773 The function was exited without closing the file referenced by the 'fp' handle. A resource leak is possible. cpu_sup.c 433 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1300 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 1330 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 1663 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1690 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 1715 V773 The exception was thrown without releasing the 'alpha' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1718 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 1747 V773 Përjashtimi u hodh pa lëshuar treguesin 'alfa'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 1750 V773 Përjashtimi u hodh pa lëshuar treguesin 'alfa'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 2680 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 2715 V773 Përjashtimi u hodh pa lëshuar treguesin e 'të dhënave'.Një rrjedhje e kujtesës është e mundur. wxe_wrapper_4.cpp 2733 Fragment N15 The PVS-Studio warning: realloc() leak i mundshëm: kur realloc() dështon në alokimin e kujtesës, pointer origjinal 'outbuf_base' humbet. V701 run_erl.c 1324 static void outbuf_append(const char* buf, int n) { .... /* * Allocate a larger buffer if we still cannot fit the data. */ if (outbuf_base+outbuf_total < outbuf_in+n) { int size = outbuf_in - outbuf_out; outbuf_total = size+n; outbuf_base = realloc(outbuf_base, outbuf_total); outbuf_out = outbuf_base; outbuf_in = outbuf_base + size; } .... } Enter fullscreen mode Exit fullscreen mode There's a tricky pattern with the Funksioni, ku treguesi origjinal është menjëherë i mbivendosur nga vlera e kthimit. realloc The function takes the buffer for reallocation as its first argument and the new buffer size as its second argument. If the operation is successful, the function will return a pointer to the newly allocated memory. The memory passed as the first argument becomes , even if only a simple memory block expansion has occurred. If the operation fails, the function returns a Kujtesa kaloi si argumenti i parë mbetet . invalid null pointer untouched Pra, në qoftë se ne menjëherë të mbivendosur treguesin origjinal me një thirrje për , we will get a memory leak. realloc Let's fix the code as follows: static void outbuf_append(const char* buf, int n) { .... /* * Allocate a larger buffer if we still cannot fit the data. */ if (outbuf_base + outbuf_total < outbuf_in + n) { int size = outbuf_in - outbuf_out; outbuf_total = size+n; char *tmp = realloc(outbuf_base, outbuf_total); if (!tmp) { /* somehow handle this scenario * the `outbuf_base` buffer here is still valid */ } outbuf_base = tmp; outbuf_out = outbuf_base; outbuf_in = outbuf_base + size; } .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë In the fixed example, we also need to handle the situation where returns the null pointer. This may be an exception throwing, an attempt to allocate a buffer of a different size, and so on. realloc Fragment N16 The PVS-Studio warning: The 'end' pointer in the 'end - mm->sua.top' expression equals nullptr. The resulting value is senseless and it should not be used. 769 të Erl_mmap.c 2411 në dispozicion static void add_free_desc_area(ErtsMemMapper* mm, char *start, char *end) { ERTS_MMAP_ASSERT(end == (void *) 0 || end > start); if (sizeof(ErtsFreeSegDesc) sua.top` always will * compare as larger than all segment pointers * into the super carrier... */ mm->sua.top -= ERTS_PAGEALIGNED_SIZE; mm->size.supercarrier.used.total += ERTS_PAGEALIGNED_SIZE; #ifdef ERTS_HAVE_OS_PHYSICAL_MEMORY_RESERVATION if (!virtual_map || os_reserve_physical(mm->sua.top, ERTS_PAGEALIGNED_SIZE)) #endif add_free_desc_area(mm, mm->sua.top, end); mm->desc.reserved += (end - mm->sua.top) / sizeof(ErtsFreeSegDesc); } .... } Hyr në modalitetin e ekranit të plotë Hyr në modalitetin e ekranit të plotë The analyzer has detected suspicious address arithmetic. Let's see what's wrong here. Ne hyjmë në degën e kodit ku is indeed a null pointer. The Sipas standardit C, sjellja e treguesve që ndryshojnë përcaktohet vetëm kur ata të dy tregojnë për elementet e të njëjtit array (C11). ; C23 ). The null pointer doesn't point to any array element. So, the behavior of this operation is undefined, which isn't good. end mm->sua.top 6.5.6 Të gjitha 6.5.7 Të gjitha I was wondering what happens in the function. add_free_desc_area static void add_free_desc_area(ErtsMemMapper* mm, char *start, char *end) { ERTS_MMAP_ASSERT(end == (void *) 0 || end > start); if (sizeof(ErtsFreeSegDesc) <= ((UWord) end) - ((UWord) start)) { .... } Enter fullscreen mode Exit fullscreen mode Pointer subtraction is also used here, but with a difference: first, the pointers are converted to numbers. This is implementation-defined behavior (C11 ; C23 ), which is much better. 6.3.2 Të gjitha 6.3.2 Të gjitha Për fat të keq, unë nuk mund të sugjeroj një zgjidhje të duhur. zhvilluesit mund të duan të marrin një vështrim në këtë problem. Konkludimi E pra, kjo përfundon artikullin. Siç pritej me çdo projekt të madh që ka pasur një histori të gjatë dhe ngjarje, ne gjetëm gabime të ndryshme. Ata janë gjithashtu pjesë e projektit, megjithatë. Është e rëndësishme të mbani mend se gjetja e problemeve të tilla në një bazë kodesh që është mbi tre dekada e vjetër nuk është një shenjë dobësie. Përkundrazi, kjo është dëshmi e shkallës së pabesueshme dhe jetëgjatësisë së kodit. Ka miliona rreshta kodesh të shkruara nga qindra zhvillues dhe sistemi ka qenë duke punuar për vite pa ri-boot. Ky projekt meriton respektin më të thellë, jo sepse është i përsosur, por sepse ka qëndruar në provën e kohës dhe ka provuar fuqinë e tij të vërtetë. Falë zhvillimit të vazhdueshëm të teknologjive moderne, zhvilluesit kanë mjete të fuqishme në dispozicionin e tyre për të përmirësuar besueshmërinë e kodit. Për shembull, analizuesit statikë ndihmojnë në identifikimin e gabimeve të fshehura dhe dobësive të mundshme. Unë ju ftoj të shihni vetë :) Ju mund të merrni një version provë të analizuesit PVS-Studio . here