Splint (Software)

Das folgende Beispiel eines fehlerhaften Quellcodes zeigt die Arbeitsweise von Splint. Das Programm sollte eigentlich in einer Schleife zeichenweise von der Eingabe lesen und für jeden Zeilenwechsel eine entsprechende Meldung ausgeben. Das Zeichen „x“ soll das Programm beenden. Alle anderen Zeichen werden direkt ausgegeben.

Das Programm ist allerdings mit typischen Flüchtigkeitsfehlern beim Programmieren in C behaftet:

Die Variable c wird gelesen, ohne vorher initialisiert zu sein.
Nach dem while-Statement steht ein Semikolon, das eine Endlosschleife erzeugt.
Bei der Zuweisung von getchar findet eine implizite Typumwandlung von int nach char statt.
Die if-Bedingung enthält eine Zuweisung anstatt eines Vergleichs
Im switch-Konstrukt fehlt ein break.

#include <stdio.h>
int main ()
{
  char c;
  while (c != 'x');
  {
    c = getchar ();
    if (c = 'x') return 0;
    switch (c)
      {
      case '\n':
      case '\r':
        printf ("Zeilenwechsel\n");
      default:
        printf ("%c",c);
      }
  }
  return 0;
}

Splint findet splint sechs verdächtige Codestellen (die Ausgabe wurde der Übersichtlichkeit wegen um erklärende Kommentare gekürzt):

  Variable c used before definition
  Suspected infinite loop. No value used in loop test (c) is modified...
  Assignment of int to char: c = getchar()
  Test expression for if is assignment expression: c = 'x'
  Test expression for if not boolean, type char: c = 'x'
  Fall through case (no preceding break)

Tatsächlich korrespondieren die beanstandeten Punkte im Quellcode mit den Programmierfehlern:

Die Variable c wird mit 'x' verglichen, obwohl ihr vorher kein Wert zugewiesen wurde. Damit ist das weitere Verhalten des Programms undefiniert.
Der Rückgabewert der Funktion getchar ist vom Typ int, wird aber einer Variablen vom Typ char zugewiesen. Da der Typ char nicht alle gültigen Werte von int enthält, können Mehrdeutigkeiten entstehen.
C erlaubt Zuweisungen innerhalb von Ausdrücken. Das ist aber, wie hier, oft unbeabsichtigt.
In einer switch-Anweisung sollte jeder Zweig explizit mit einem break abgeschlossen werden, ansonsten wird der Code des nächsten Zweiges mit ausgeführt. Bei '\n' und '\r' ist das Absicht, aber im default-Zweig nicht.

Auch ein aktueller C-Compiler wie gcc (Version 12.2.0) mit Option -Wall -Wextra -Wconversion liefert hier fünf Warnungen, die auf alle obigen Programmfehler hindeuten:

warning: this ‘while’ clause does not guard... [-Wmisleading-indentation]
   5 |   while (c != 'x');
note: ...this statement, but the latter is misleadingly indented as if it were guarded by the ‘while’
   6 |   {
warning: conversion from ‘int’ to ‘char’ may change value [-Wconversion]
   7 |     c = getchar ();
warning: suggest parentheses around assignment used as truth value [-Wparentheses]
   8 |     if (c = 'x') return 0;
warning: this statement may fall through [-Wimplicit-fallthrough=]
  13 |         printf ("Zeilenwechsel\n");
warning: ‘c’ is used uninitialized [-Wuninitialized]
   5 |   while (c != 'x');

Zum Vergleich dazu das korrekte Programm, welches von splint nicht beanstandet wird. Hierzu ist beim Aufruf von splint (Version 3.1.2) die Option +charintliteral nötig, gemäß Hinweis

A character constant is used as an int.
Use +charintliteral to allow character constants to be used as ints.
(This is safe since the actual type of a char constant is int.)

#include <stdio.h>

int main(void)
{
  int c = 0;

  while (c = getchar(), c != EOF && c != 'x')
  {
    switch (c)
      {
      case '\n':
      case '\r':
        printf ("Zeilenwechsel\n");
        break;
      default:
        printf ("%c",c);
      }
  }
  return 0;
}

Splint (Software)

Beispiel

Weblinks

Wikiwand - on