如何使用C断言让代码更安全？

Question

阅读杂项。与SDL开发相关的教程我发现了两个不同的例子，做同样的事情，但是以不同的方式。我想知道从代码“安全性”和可维护性的角度来看，您认为这两者中哪一个是正确的。

在第一个示例中，程序员根本没有使用断言，但代码看起来不错（至少在我看来）：

int main(){
        SDL_Surface *screen;

        /** Initialize SDL */
        if(SDL_Init(SDL_INIT_VIDEO)!=0){
                fprintf(stderr,"Unable to initialize SDL: %s",SDL_GetError());
        }
        atexit(SDL_Quit);

        /** Sets video mode */
        screen=SDL_SetVideoMode(640,480,16,SDL_HWSURFACE);
        if(screen==NULL){
                fprintf(stderr,"Unable to set video mode: %s",SDL_GetError());
        }

        return (0);
}

在第二个示例中，程序员[其他]使用了不同的方法，例如（代码不是完全复制粘贴）：

int main(){
        SDL_Surface* screen;

        /** Initialize SDL */
        assert(SDL_Init(SDL_INIT_VIDEO)==0);
        atexit(SDL_Quit);

        /** Sets video mode */
        screen=SDL_SetVideoMode(640,480,16,SDL_HWSURFACE);
        assert(screen!=NULL);

        return (0);
}

可以用第二个示例中的断言“替换” if 条件（来自第一个示例）吗？

正确的策略是什么（如果有的话）？

Answer 1

进行这种替换是不行的。第二个示例是错误的，因为在非调试版本中，assert(x) 扩展为无内容（当 NDEBUG 时） > 已定义）。这意味着上面 assert 中的指针检查已从发布版本的代码中删除。这绝对是错误的。

那么，什么时候应该使用 assert 呢？它对于记录和调试很有用。在某种程度上，您是在说，“我确信这个条件是正确的，并将其作为断言放在这里，以在调试期间捕获错误代码，并将该条件记录给读者代码”。

因此，这两个示例之间存在很大差异。对于检查 malloc 的返回值之类的事情，assert 是错误的，因为不能保证它们会返回非 NULL，正如我所言上面已经提到，assert(x) 的意思是“我完全确定 x 为真”，而不仅仅是“如果 x 不为真，这很糟糕”。为此，可以使用 if(x) good(); else bad(); 控制。

SDL_Init 和 SDL_SetVideoMode 可以分别返回 -1 和 NULL 。

Answer 2

当事情以意想不到的方式出现问题时，应该使用 assert 。通常，如果断言失败，则意味着程序中存在错误。断言不用于可能发生的预期错误（即无法打开文件、无法初始化某些内容等等）。

在您提供的示例中，assert 似乎不是最合乎逻辑的解决方案。当程序无法初始化 SDL 时，以结构化方式告诉用户比抛出断言（这可能会在某些系统上导致段错误）更有意义。

Answer 3

Assert 语句通常仅用于调试构建，并且会停止程序并通常允许您进入调试器。在发布版本中仍然检查错误条件可能是有意义的。一种简单的方法可能是这样的：

assert( condition );
if ( !condition )
    handle error;

Answer 4

我使用断言来记录前置条件和后置条件。
（识别功能的意图）

就像..

double positive_division(double dividend, double divisor)
{
    //preconditions
    ASSERT(dividend>=0);
    ASSERT(divisor >0);

    double quotient = dividend/divisor;

    //postconditions    
    ASSERT(quotient>=0);
    return quotient;
}