scanf的缺点

Question

我想知道scanf()的缺点。

在许多网站上，我读到使用 scanf 可能会导致缓冲区溢出。这是什么原因呢？ scanf 还有其他缺点吗？

Answer 1

到目前为止，大多数答案似乎都集中在字符串缓冲区溢出问题上。实际上，可与 scanf 函数一起使用的格式说明符支持显式字段宽度设置，这限制了输入的最大大小并防止缓冲区溢出。这使得对 scanf 中存在字符串缓冲区溢出危险的流行指控几乎毫无根据。声称 scanf 在某种程度上类似于 gets 在这方面是完全错误的。 scanf 和 gets 之间存在重大的质的区别：scanf 确实为用户提供了防止字符串缓冲区溢出的功能，而 得到 没有。

有人可能会说这些 scanf 功能很难使用，因为字段宽度必须嵌入到格式字符串中（无法通过可变参数传递它，因为它可以在 >printf）。这确实是事实。 scanf 在这方面的设计确实相当糟糕。但尽管如此，任何声称 scanf 在字符串缓冲区溢出安全性方面无可救药地被破坏的说法都是完全虚假的，并且通常是由懒惰的程序员提出的。

scanf 的真正问题具有完全不同的性质，尽管它也与溢出有关。当 scanf 函数用于将数字的十进制表示形式转换为算术类型的值时，它不提供算术溢出保护。如果发生溢出，scanf 会产生未定义的行为。因此，在 C 标准库中执行转换的唯一正确方法是来自 strto... 系列的函数。

因此，综上所述，scanf 的问题在于很难（尽管可能）正确且安全地使用字符串缓冲区。并且不可能安全地用于算术输入。后者才是真正的问题。前者只是带来不便。

PS 以上内容旨在介绍整个 scanf 函数系列（还包括 fscanf 和 sscanf）。特别是对于 scanf 来说，明显的问题是使用严格格式的函数来读取潜在的交互式输入的想法是相当值得怀疑的。

Answer 2

scanf 的问题（至少）是：

• 使用 %s 从用户那里获取字符串，这导致该字符串可能比你的缓冲区长，从而导致溢出。
• 扫描失败的可能性使您的文件指针处于不确定的位置。

我非常喜欢使用 fgets 读取整行，这样您就可以限制读取的数据量。如果您有一个 1K 缓冲区，并且使用 fgets 读入一行，您可以通过没有终止换行符（文件的最后一行没有换行符）来判断该行是否太长。尽管有换行符）。

然后，您可以向用户投诉，或者为该行的其余部分分配更多空间（如果需要，可以连续分配，直到有足够的空间）。无论哪种情况，都不存在缓冲区溢出的风险。

读完该行后，您知道您已位于下一行，因此那里没有问题。然后，您可以sscanf您的字符串到您想要的内容，而无需保存和恢复文件指针以进行重新读取。

这是我经常使用的一段代码，以确保在向用户询问信息时不会发生缓冲区溢出。

如果需要的话，可以很容易地调整它以使用标准输入以外的文件，并且您还可以让它分配自己的缓冲区（并不断增加它直到它足够大），然后再将其返回给调用者（尽管调用者将负责当然是为了释放它）。

#include <stdio.h>
#include <string.h>

#define OK         0
#define NO_INPUT   1
#define TOO_LONG   2
#define SMALL_BUFF 3
static int getLine (char *prmpt, char *buff, size_t sz) {
    int ch, extra;

    // Size zero or one cannot store enough, so don't even
    // try - we need space for at least newline and terminator.

    if (sz < 2)
        return SMALL_BUFF;

    // Output prompt.

    if (prmpt != NULL) {
        printf ("%s", prmpt);
        fflush (stdout);
    }

    // Get line with buffer overrun protection.

    if (fgets (buff, sz, stdin) == NULL)
        return NO_INPUT;

    // Catch possibility of `\0` in the input stream.

    size_t len = strlen(buff);
    if (len < 1)
        return NO_INPUT;

    // If it was too long, there'll be no newline. In that case, we flush
    // to end of line so that excess doesn't affect the next call.

    if (buff[len - 1] != '\n') {
        extra = 0;
        while (((ch = getchar()) != '\n') && (ch != EOF))
            extra = 1;
        return (extra == 1) ? TOO_LONG : OK;
    }

    // Otherwise remove newline and give string back to caller.
    buff[len - 1] = '\0';
    return OK;
}

并且，它的测试驱动程序：

// Test program for getLine().

int main (void) {
    int rc;
    char buff[10];

    rc = getLine ("Enter string> ", buff, sizeof(buff));
    if (rc == NO_INPUT) {
        // Extra NL since my system doesn't output that on EOF.
        printf ("\nNo input\n");
        return 1;
    }

    if (rc == TOO_LONG) {
        printf ("Input too long [%s]\n", buff);
        return 1;
    }

    printf ("OK [%s]\n", buff);

    return 0;
}

最后，进行测试运行以展示它的实际效果：

$ printf "\0" | ./tstprg     # Singular NUL in input stream.
Enter string>
No input

$ ./tstprg < /dev/null       # EOF in input stream.
Enter string>
No input

$ ./tstprg                   # A one-character string.
Enter string> a
OK [a]

$ ./tstprg                   # Longer string but still able to fit.
Enter string> hello
OK [hello]

$ ./tstprg                   # Too long for buffer.
Enter string> hello there
Input too long [hello the]

$ ./tstprg                   # Test limit of buffer.
Enter string> 123456789
OK [123456789]

$ ./tstprg                   # Test just over limit.
Enter string> 1234567890
Input too long [123456789]

Answer 3

来自 comp.lang.c FAQ： 为什么每个人都说不要使用 scanf？我应该用什么来代替？

scanf 有许多问题 - 请参阅问题 12.17、12.18a 和 12.19。此外，其 %s 格式与 gets() 具有相同的问题（请参阅问题 12.23)—很难保证接收缓冲区不会溢出。 [脚注]

更一般地说，scanf 是为相对结构化、格式化的输入而设计的（它的名字实际上源自“scan formatted”）。如果你注意的话，它会告诉你它是成功还是失败，但它只能告诉你失败的大概位置，而根本不能告诉你失败的方式或原因。您几乎没有机会进行任何错误恢复。

然而，交互式用户输入是最不结构化的输入。精心设计的用户界面将允许用户键入几乎任何内容 - 不仅仅是在需要数字时输入字母或标点符号，还可以输入比预期更多或更少的字符，或者根本不输入任何字符（ie< /em>，只是 RETURN 键），或过早的 EOF，或任何东西。使用 scanf 时，几乎不可能优雅地处理所有这些潜在问题；读取整行（使用 fgets 等），然后使用 sscanf 或其他一些技术来解释它们要容易得多。 （诸如 strtol、strtok 和 atoi 之类的函数通常很有用；另请参阅问题 12.16 和 13.6.) 如果您确实使用任何 scanf 变体，请务必检查返回值以确保找到预期数量的项目。另外，如果您使用%s，请务必防止缓冲区溢出。

顺便请注意，对 scanf 的批评并不一定是对 fscanf 和 sscanf 的控诉。 scanf 从 stdin 读取，它通常是交互式键盘，因此受到的限制最少，导致的问题也最多。另一方面，当数据文件具有已知格式时，使用 fscanf 读取它可能是合适的。使用 sscanf 解析字符串是非常合适的（只要检查返回值），因为它很容易重新获得控制、重新启动扫描、在不匹配时丢弃输入等。

其他链接：

• Chris Torek 的详细说明
• 您真正的更长的解释

参考文献：K&R2 Sec. 7.4 页。 159

Answer 4

让 scanf 来做你想做的事情是非常困难的。当然可以，但正如大家所说，像 scanf("%s", buf); 和 gets(buf); 一样危险。

例如，paxdiablo 在其读取函数中所做的事情可以通过以下方式完成：

scanf("%10[^\n]%*[^\n]", buf));
getchar();

上面将读取一行，将前 10 个非换行符存储在 buf 中，然后丢弃所有内容，直到（并包括）换行符。因此，paxdiablo 的函数可以使用 scanf 编写，如下所示：

#include <stdio.h>

enum read_status {
    OK,
    NO_INPUT,
    TOO_LONG
};

static int get_line(const char *prompt, char *buf, size_t sz)
{
    char fmt[40];
    int i;
    int nscanned;

    printf("%s", prompt);
    fflush(stdout);

    sprintf(fmt, "%%%zu[^\n]%%*[^\n]%%n", sz-1);
    /* read at most sz-1 characters on, discarding the rest */
    i = scanf(fmt, buf, &nscanned);
    if (i > 0) {
        getchar();
        if (nscanned >= sz) {
            return TOO_LONG;
        } else {
            return OK;
        }
    } else {
        return NO_INPUT;
    }
}

int main(void)
{
    char buf[10+1];
    int rc;

    while ((rc = get_line("Enter string> ", buf, sizeof buf)) != NO_INPUT) {
        if (rc == TOO_LONG) {
            printf("Input too long: ");
        }
        printf("->%s<-\n", buf);
    }
    return 0;
}

scanf 的其他问题之一是它在溢出时的行为。例如，当读取 int 时：

int i;
scanf("%d", &i);

如果发生溢出，则无法安全地使用上述内容。即使对于第一种情况，使用 fgets 读取字符串也比使用 scanf 更简单。

Answer 5

是的你是对的。 scanf 系列（scanf、sscanf、fscanf..etc）中存在重大安全漏洞，尤其是在读取时一个字符串，因为它们不考虑缓冲区（它们正在读取的）的长度。

示例：

char buf[3];
sscanf("abcdef","%s",buf);

显然缓冲区 buf 可以容纳 MAX 3 字符。但是 sscanf 会尝试将“abcdef”放入其中，从而导致缓冲区溢出。

Answer 6

scanf 的优点是，一旦您学会了如何使用该工具（就像您在 C 语言中应该做的那样），它就有非常有用的用例。您可以学习如何使用 scanf 和朋友通过阅读和理解手册。如果您在没有严重理解问题的情况下无法读完该手册，这可能表明您不太了解 C。

---

scanf 和朋友们遭受了不幸的设计选择，这使得在不阅读文档的情况下很难（有时甚至不可能）正确使用，正如其他答案所示。不幸的是，这种情况在整个 C 语言中都会发生，所以如果我建议不要使用 scanf 那么我可能会建议不要使用 C。

最大的缺点之一似乎纯粹是它在不熟悉；正如 C 语言的许多有用功能一样，我们在使用它之前应该充分了解它。关键是要认识到，与 C 的其余部分一样，它看起来简洁且惯用，但这可能会产生微妙的误导。这在 C 语言中很普遍；对于初学者来说，很容易编写他们认为有意义的代码，甚至最初可能对他们有用，但实际上没有意义，并且可能会发生灾难性的失败。

例如，外行通常期望 %s 委托会导致读取一行，虽然这看起来很直观，但不一定正确。将字段描述为一个单词更为合适。强烈建议您阅读每个功能的手册。

如果不提及其缺乏安全性和缓冲区溢出风险，对这个问题的回应会是什么？正如我们已经介绍过的，C 不是一种安全语言，并且允许我们走捷径，可能会以牺牲正确性为代价进行优化，或者更可能是因为我们是懒惰的程序员。因此，当我们知道系统永远不会收到大于固定字节数的字符串时，我们就可以声明一个具有大小的数组并放弃边界检查。我真的不认为这是一个失败；这是一个选择。再次强烈建议您阅读手册，这将向我们揭示此选项。

懒惰的程序员并不是唯一被 scanf 刺痛的人。例如，尝试使用 %d 读取 float 或 double 值的情况并不罕见。他们通常错误地认为实现会在幕后执行某种转换，这是有道理的，因为类似的转换发生在语言的其余部分，但这里的情况并非如此。正如我之前所说，scanf 和它的朋友（实际上还有 C 的其余部分）都是具有欺骗性的；它们看起来简洁且惯用，但事实并非如此。

没有经验的程序员不会被迫考虑操作是否成功。假设当我们告诉 scanf 使用 %d 读取和转换十进制数字序列时，用户输入了完全非数字的内容。我们拦截此类错误数据的唯一方法是检查返回值，我们多久检查一次返回值？

与fgets非常相似，当scanf和朋友无法读取他们被告知要读取的内容时，流将处于异常状态；

• 对于fgets，如果没有足够的空间来存储完整的行，则未读的行的其余部分可能会被错误地视为新行，但实际上它不是新行。
• 对于 scanf 和类似的情况，如上所述，转换失败，错误的数据在流中未被读取，并且可能被错误地视为不同字段的一部分。

使用 scanf 及其朋友并不比使用 fgets 更容易。如果我们在使用 fgets 时通过查找 '\n' 来检查是否成功，或者在使用 scanf 时通过检查返回值来检查是否成功和朋友们，我们发现使用 fgets 读取了不完整的行，或者使用 scanf 读取了字段失败，然后我们面临着同样的现实：可能会丢弃输入（通常直到并包括下一个换行符）！呜呜呜！

不幸的是，scanf 同时使以这种方式丢弃输入既困难（不直观）又容易（最少的击键）。面对丢弃用户输入的现实，有些人尝试了 scanf("%*[^\n]%*c");，但没有意识到 %*[^\n] 委托在遇到除换行符之外的任何内容时都会失败，因此换行符仍将保留在流中。

稍作调整，通过分离两个格式委托，我们在这里看到了一些成功： scanf("%*[^\n]"); getchar();。尝试使用其他工具通过很少的击键来完成此操作；）

Answer 7

我在使用 *scanf() 系列时遇到的问题：

• %s 和 %[ 转换说明符可能导致缓冲区溢出。是的，您可以指定最大字段宽度，但与 printf() 不同，您不能将其作为 scanf() 调用中的参数；它必须在转换说明符中进行硬编码。
• %d、%i 等算术溢出的可能性。
• 检测和拒绝格式错误的输入的能力有限。例如，“12w4”不是有效整数，但 scanf("%d", &value); 将成功转换并将 12 分配给 value，留下“w4”卡在输入流中，导致将来的读取变得混乱。理想情况下，整个输入字符串都应该被拒绝，但是 scanf() 并没有为您提供一个简单的机制来做到这一点。

如果您知道您的输入始终是格式良好的，具有固定长度的字符串和不会溢出的数值，那么 scanf() 是一个很棒的工具。如果您正在处理交互式输入或不能保证格式良好的输入，请使用其他输入。

Answer 8

这里的许多答案讨论了使用 scanf("%s", buf) 的潜在溢出问题，但最新的 POSIX 规范或多或少通过提供 m 解决了这个问题> 可在 c、s 和 [ 格式的格式说明符中使用的赋值分配字符。这将允许 scanf 使用 malloc 分配所需的尽可能多的内存（因此稍后必须使用 free 释放它）。

其使用示例：

char *buf;
scanf("%ms", &buf); // with 'm', scanf expects a pointer to pointer to char.

// use buf

free(buf);

请参阅此处。这种方法的缺点是它是 POSIX 规范中相对较新的补充，并且根本没有在 C 规范中指定，因此目前它仍然相当不可移植。

Answer 9

类似 scanf 的函数有一个大问题 - 缺乏 any 类型安全性。也就是说，你可以编写这样的代码：

int i;
scanf("%10s", &i);

地狱，即使这是“很好”：

scanf("%10s", i);

它比类似于 printf 的函数更糟糕，因为 scanf 需要一个指针，因此更有可能崩溃。

当然，有一些格式说明符检查器，但是，它们并不完美，而且它们不是语言或标准库的一部分。