第1章：安全编码规范体系概览

做C++安全编程这么多年，我越来越觉得：没有规矩，不成方圆。代码写得再花哨，一旦出了安全漏洞，前面所有的努力都可能白费。今天我们就来聊聊C++安全编码的几大核心规范，以及如何用自动化工具帮我们把关。

1.1 为什么需要安全编码规范？

先讲个我亲身经历的事。几年前我参与一个嵌入式项目，团队里有个哥们儿特别喜欢用裸指针，觉得智能指针太啰嗦。结果上线第三天，程序就崩了——内存泄漏加上野指针访问，整整排查了两天。后来我们强制推行了C++ Core Guidelines，类似的bug几乎绝迹。

说白了，安全编码规范就是一套避坑指南。它告诉你哪些写法容易出问题，哪些写法更安全。你想想看，如果每个程序员都按自己的习惯来写，代码库迟早变成一团乱麻。

1.2 四大规范体系

目前业界主流的C++安全编码规范，主要有四个流派。我按个人习惯排了个序，从最常用到最专精：

规范名称	侧重点	适用场景	严格程度
C++ Core Guidelines	现代C++最佳实践	通用项目	中等
SEI CERT C++	安全漏洞防范	高安全需求	高
MISRA C++	嵌入式/汽车	关键系统	极高
自动化检查工具	代码质量	日常开发	可配置

1.3 C++ Core Guidelines：现代C++的指路明灯

这是Bjarne Stroustrup和Herb Sutter牵头搞的一套规范。我个人非常推崇，因为它与时俱进，C++11/14/17/20的新特性都有覆盖。

举个例子，它有一条规则叫「I.11: 永远不要传递裸指针的所有权」。什么意思呢？就是如果你要传递一个对象的所有权，用std::unique_ptr或std::shared_ptr，别用裸指针。我在项目中遇到过太多次因为裸指针所有权不清导致的崩溃了。

// 不推荐：谁该delete？没人知道
void process(Widget* w);

// 推荐：所有权明确
void process(std::unique_ptr<Widget> w);

1.4 SEI CERT C++：安全第一

SEI CERT是卡内基梅隆大学软件工程研究所搞的。它比Core Guidelines更激进，很多规则直接禁止某些写法。比如它有一条规则：「禁止使用reinterpret_cast」。为什么？因为reinterpret_cast几乎可以绕过所有类型检查，太危险了。

我记得有一次审计一个网络库，发现里面大量使用reinterpret_cast把结构体转成字节流。结果有个地方类型大小算错了，直接导致缓冲区溢出。嗯，从那以后我对reinterpret_cast就特别警惕。

// 违反SEI CERT：危险的类型转换
char* buffer = reinterpret_cast<char*>(&packet);

// 安全做法：使用memcpy或序列化库
std::memcpy(buffer, &packet, sizeof(packet));

1.5 MISRA C++：嵌入式领域的铁律

MISRA C++最早是为汽车行业设计的，后来扩展到航空航天、医疗设备等安全关键系统。它的规则极其严格，比如禁止使用new和delete，禁止使用异常，甚至禁止使用C++标准库的某些部分。

你可能会问：「这还能叫C++吗？」说实话，MISRA C++写出来的代码确实不太像现代C++，更像「带类的C」。但在那些出不起bug的领域，这种严格是必要的。

1.6 自动化检查工具：你的代码审计助手

光靠人肉遵守规范，太累了。好在有自动化工具帮忙。我常用的两个是Clang-Tidy和Cppcheck。

• Clang-Tidy：基于Clang的静态分析工具，支持C++ Core Guidelines的大部分规则。我习惯把它集成到CI流程里，每次提交代码自动跑一遍。
• Cppcheck：轻量级工具，擅长检测内存泄漏、未初始化变量等问题。虽然不如Clang-Tidy全面，但胜在速度快，适合本地开发时用。

// 在CMake中启用Clang-Tidy
set(CMAKE_CXX_CLANG_TIDY "clang-tidy;-checks=*,-modernize-use-trailing-return-type")

// 命令行使用Cppcheck
cppcheck --enable=all --suppress=missingIncludeSystem src/

这里有个坑：工具不是万能的。我曾经遇到一个案例，Clang-Tidy没报错，但代码在特定编译器优化下会出问题。所以我的建议是：工具+人工审查，双管齐下。

1.7 知识体系总览

下面这张图是我自己整理的，把四大规范体系的关系和侧重点画了出来。你可以把它当作本章的「地图」：

1.8 如何选择适合你的规范？

这个问题没有标准答案。我个人的经验是：

• 如果你在做通用软件开发，优先采用C++ Core Guidelines，配合Clang-Tidy检查。
• 如果涉及金融、医疗、国防等高安全领域，SEI CERT是必须的。
• 如果是嵌入式、汽车、航空，MISRA C++几乎是行业准入标准。

但不管选哪个，记住一点：规范是死的，人是活的。别为了遵守规范而写出反人类的代码。比如MISRA禁止异常，但如果你用现代C++的RAII模式，其实异常安全是可以做到的。嗯，这里要灵活。

---