第36章 整数溢出：有符号整数溢出是未定义行为

说实话，整数溢出这个问题，我在刚入行时根本没当回事。那时候觉得，不就是数字加着加着超了范围嘛，大不了绕回来呗。直到有一次，我在一个嵌入式项目里，因为一个int变量的溢出，导致整个系统在运行了72小时后突然崩溃——嗯，从那以后，我再也不敢小看这个“小问题”了。

今天我们就来聊聊：有符号整数溢出，为什么是未定义行为？

什么是整数溢出？

先看一个最简单的例子：

#include <stdio.h>
#include <limits.h>

int main() {
    int a = INT_MAX;  // 2147483647
    int b = a + 1;    // 溢出！
    printf("a = %d\n", a);
    printf("a + 1 = %d\n", b);
    return 0;
}

你猜猜输出是什么？

在很多编译器上，你会看到 a + 1 = -2147483648。看起来像是“绕了一圈”，对吧？

但我要告诉你：这个结果是不可靠的。因为C语言标准明确说了——有符号整数溢出是未定义行为。

为什么是未定义行为？

你可能会问：“为什么C语言不直接定义成回绕呢？像无符号整数那样？”

这个问题问得好。我个人理解，原因有两点：

1. 历史原因：早期的CPU处理有符号整数的溢出方式并不统一。有的用补码回绕，有的用饱和运算，有的直接触发异常。C语言为了跨平台，干脆把它定义为“未定义”，让编译器自己决定。
2. 优化空间：把溢出定义为未定义行为，编译器就可以做更多激进的优化。比如，如果你写了 if (x + 1 > x)，编译器可以直接判定为true，因为“有符号整数不会溢出”。这听起来有点反直觉，但确实能提升性能。

我在项目中遇到过一件事：一个同事写了一段代码，依赖整数溢出后的“回绕”行为来做哈希计算。结果换了一个编译器版本后，结果全变了。排查了整整两天，才发现是溢出行为变了。

有符号 vs 无符号：天壤之别

类型	溢出行为	是否定义
unsigned int	回绕（模运算）	✅ 完全定义
signed int	未定义	❌ 未定义行为
short	提升为 int 后可能溢出	⚠️ 视情况
long long	同 signed int	❌ 未定义行为

说白了，无符号整数的溢出是“可控的”，而有符号整数的溢出是“不可控的”。你想想看，一个不可控的行为，你敢用在产品代码里吗？

实际案例：一个让我记忆犹新的bug

我曾经参与过一个车载系统的项目。有一段代码是用来计算累计里程的：

int total_mileage = 0;
int delta = 100;

while (1) {
    total_mileage += delta;
    if (total_mileage > 1000000) {
        // 触发保养提醒
    }
}

看起来没问题，对吧？但问题是，total_mileage 是 int 类型，最大值只有 2147483647。如果车辆一直运行，累计里程迟早会超过这个值。一旦溢出，行为就完全不可预测了。

我当时建议改成 unsigned int，但项目经理说“unsigned 也是32位，一样会溢出啊”。我说：“没错，但 unsigned 的溢出是回绕，至少行为是确定的。我们可以用回绕后的值做判断，或者干脆用 long long。” 最后我们改成了 unsigned long long，问题解决。

如何避免有符号整数溢出？

嗯，这里要注意，避免溢出不是“靠运气”，而是靠规范。我总结了几个实用方法：

• 使用无符号类型：如果数值不可能为负，就用 unsigned。它的溢出行为是定义的。
• 使用更宽的类型：比如 long long 或 uint64_t，减少溢出概率。
• 做溢出检查：在加法、乘法之前，先判断是否会溢出。
• 启用编译器警告：比如 GCC 的 -Wstrict-overflow，能帮你发现潜在问题。

下面是一个安全的加法函数示例：

#include <limits.h>

int safe_add(int a, int b, int *result) {
    if ((b > 0) && (a > INT_MAX - b)) {
        return -1;  // 正溢出
    }
    if ((b < 0) && (a < INT_MIN - b)) {
        return -1;  // 负溢出
    }
    *result = a + b;
    return 0;  // 成功
}

这个函数在加法前先判断是否溢出，如果溢出就返回错误码。虽然多了一点点开销，但换来了安全性。

知识体系：整数溢出的核心逻辑

下面这张图，是我梳理的整数溢出知识结构。你可以看到，有符号和无符号的溢出行为完全不同，而编译器优化又让事情变得更复杂。

避坑指南

我曾经犯过一个错误：在循环条件里用了有符号整数，而且没考虑溢出。代码大概是这样：

for (int i = 0; i < 100000; i++) {
    // 做一些操作
}

看起来没问题？但如果 i 在循环体内被修改，或者循环次数超过 INT_MAX，那就出事了。我建议你：

• 循环计数器尽量用 unsigned 或 size_t
• 不要依赖溢出后的“回绕”行为
• 在关键路径上做溢出检查

好了，这一章就到这里。记住一句话：有符号溢出，别碰。 用无符号，或者做检查，才是正道。

---

公众号:蓝海资料掘金营，微信deep3321