to the top
close form
Для получения триального ключа
заполните форму ниже
Team license
Enterprise license
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Запросите информацию о ценах
Новая лицензия
Продление лицензии
--Выберите валюту--
USD
EUR
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Бесплатная лицензия PVS-Studio для специалистов Microsoft MVP
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Для получения лицензии для вашего открытого
проекта заполните, пожалуйста, эту форму
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Мне интересно попробовать плагин на:
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
check circle
Ваше сообщение отправлено.

Мы ответим вам на


Если вы так и не получили ответ, пожалуйста, проверьте папку
Spam/Junk и нажмите на письме кнопку "Не спам".
Так Вы не пропустите ответы от нашей команды.

>
>
>
"Так исторически сложилось", …

"Так исторически сложилось", или за что разделили V512

12 Авг 2022

Как говорится, в любом деле самое сложное — это начать. Так и мы, очень долго откладывали разделение диагностики V512, но время пришло. Ну а о причинах и последствиях этого решения можно прочитать в данной заметке.

0978_V512_V1086_split_ru/image1.png

Одна из первых диагностик общего назначения – V512 – изначально была реализована не очень удачно. В своё время (2013 год, если верить документации) в ней совместили поиск переполнения буфера и неполной обработки буфера. Уже давно стало понятно, что это неудачное решение, но не хотелось менять поведение работающей диагностики. Так оно и повелось.

"Ну а зачем же что-то менять?" – спросите вы. А причина есть, и довольно весомая. Периодически нам в поддержку прилетали отзывы о том, что V512 неинтуитивно сочетает в себе практически противоположные по смыслу диагностики. Причём вес (достоверность) сообщения о неполной обработке буфера намного ниже, чем о переполнении буфера. Даже больше, почти всегда неполная обработка буфера — это ложное срабатывание. Пример из недавних сообщений:

"совершенно вредный варнинг буфер ундерфлов. Например, код функции: создаём на стеке буфер (1 кб). Далее если входной аргумент равен 1, то копируем в тот буфер из одного места 100 байтов. Иначе — из другого места 1 кб. Выдаём преобразованное содержимое буфера (разумеется, с учётом длины скопированного туда). На это PVS-Studio выдаёт на копирование 100 байтов варнинг буфер ундерфлов. Кто чего-то в жизни не понял?".

В общем случае люди хотят видеть предупреждения про переполнение буфера и почти никогда — про неполную обработку. И разные уровни достоверности тут мало помогают. Пользователям нужна простая возможность отключить диагностику про неполную обработку буфера, чтобы она была именно отдельной и не путалась с полезными предупреждениями о переполнении.

С этим нужно было что-то делать, и по какой-то причине было решено... Нет, не разделить диагностики. Рано :) Решили ограничиться введением специального комментария –//‑V512_UNDERFLOW_OFF, который отключал функционал поиска неполной обработки буфера. Ну а для симметрии ввели похожий комментарий для отключения поиска переполнения буфера //‑V512_OVERFLOW_OFF. Интересно, пригодился ли он хоть кому-нибудь...

Очень напоминает некое медицинское средство передвижения, которое переносит вес с ног на верхнюю часть тела... Да, я говорю про костыль :) К сожалению, сейчас уже никто не смог вспомнить, почему было принято именно такое решение (или не хочет признаваться). Тем не менее костыль малое архитектурное решение реализовали, документацию обновили, посчитали, что должно всех устроить. Но нет – запросы в поддержку продолжились. В чём же дело?

Вряд ли я вас сейчас удивлю, но люди чаще всего смотрят в документацию, только если что-то сломалось. Ну а так как ложное срабатывание поломкой не является, то люди продолжали писать в поддержку. Приходилось довольно часто объяснять, что это ожидаемое поведение диагностики и существуют специальные комментарии для подавления её срабатываний.

0978_V512_V1086_split_ru/image2.png

Недавно нам и это надоело, а посему было решено наконец-то разделить и переименовать диагностики: V512 решили оставить для переполнения буфера, а для неполной обработки создать новую – V1086. Ну и переименовать заодно, чтобы не создавать ещё больше путаницы. Теперь диагностики будут называться так:

  • V512. Call of the 'Foo' function will lead to buffer overflow.
  • V1086. Call of the 'Foo' function will lead to buffer underflow.

Хотя и тут без странностей не обошлось. В целях сохранения обратной совместимости пришлось оставить поддержку некогда специально созданных комментариев. Теперь //‑V512_OVERFLOW_OFF будет подавлять диагностику V512, а //‑V512_UNDERFLOW_OFF диагностику V1086. Такое вот наследие прошлого.

Популярные статьи по теме
Под капотом SAST: как инструменты анализа кода ищут дефекты безопасности

Дата: 26 Янв 2023

Автор: Сергей Васильев

Сегодня речь о том, как SAST-решения ищут дефекты безопасности. Расскажу, как разные подходы к поиску потенциальных уязвимостей дополняют друг друга, зачем нужен каждый из них и как теория ложится на…
Ложные представления программистов о неопределённом поведении

Дата: 17 Янв 2023

Автор: Гость

Неопределённое поведение (UB) – непростая концепция в языках программирования и компиляторах. Я слышал много заблуждений в том, что гарантирует компилятор при наличии UB. Это печально, но неудивитель…
Топ-10 ошибок в C++ проектах за 2022 год

Дата: 29 Дек 2022

Автор: Владислав Столяров

Дело идёт к Новому году, а значит, самое время традиционно вспомнить десять самых интересных срабатываний, которые нашёл PVS-Studio в 2022 году.
PVS-Studio и RPCS3: лучшие предупреждения в один клик

Дата: 12 Дек 2022

Автор: Александр Куренев

Best Warnings — режим анализатора, оставляющий в окне вывода 10 лучших предупреждений. Мы предлагаем вам ознакомиться с обновлённым режимом Best Warnings на примере проверки проекта RPCS3.
Holy C++

Дата: 23 Ноя 2022

Автор: Гость

В этой статье постараюсь затронуть все вещи, которые можно без зазрения совести выкинуть из С++, не потеряв ничего (кроме боли), уменьшить стандарт, нагрузку на создателей компиляторов, студентов, из…

Комментарии (0)

Следующие комментарии next comments
close comment form
Unicorn with delicious cookie
Мы используем куки, чтобы пользоваться сайтом было удобно.
Хорошо