Splint (Software)

Splint (Secure Programming Lint) ist eine Software für statische Quellcode-Analysen der Programmiersprache C. Splint ist eine indirekte Weiterentwicklung von Lint. Splint ist freie Software, die unter der GNU General Public License veröffentlicht ist.

Splint analysiert C-Quellcode und weist auf wahrscheinliche Programmierfehler hin, wenn zum Beispiel typische Konstrukte der Programmiersprache C in unüblicher Art und Weise angewendet wurden, die wahrscheinlich aus einer Verwechslung von ähnlichen Operatoren oder durch das Vergessen eines Klammerpaars entstanden sind. Zusätzlich interpretiert Splint diverse Annotationen in C-Kommentaren, um so zwischen der absichtlichen und der versehentlichen Verwendung eines Konstrukts zu unterscheiden und nur bei letzterer eine Fehlerwarnung auszugeben.

Beispiel

Das folgende Beispiel eines fehlerhaften Quellcodes zeigt die Arbeitsweise von Splint. Das Programm sollte eigentlich in einer Schleife zeichenweise von der Eingabe lesen und für jeden Zeilenwechsel eine entsprechende Meldung ausgeben. Das Zeichen „x“ soll das Programm beenden. Alle anderen Zeichen werden direkt ausgegeben.

Das Programm ist allerdings mit typischen Flüchtigkeitsfehlern beim Programmieren in C behaftet:

• Die Variable c wird gelesen, ohne vorher initialisiert zu sein.
• Nach dem while-Statement steht ein Semikolon, das eine Endlosschleife erzeugt.
• Bei der Zuweisung von getchar findet eine implizite Typumwandlung von int nach char statt.
• Die if-Bedingung enthält eine Zuweisung anstatt eines Vergleichs
• Im switch-Konstrukt fehlt ein break.

#include <stdio.h>
int main ()
{
  char c;
  while (c != 'x');
  {
    c = getchar ();
    if (c = 'x') return 0;
    switch (c)
      {
      case '\n':
      case '\r':
        printf ("Zeilenwechsel\n");
      default:
        printf ("%c",c);
      }
  }
  return 0;
}

Splint findet splint sechs verdächtige Codestellen (die Ausgabe wurde der Übersichtlichkeit wegen um erklärende Kommentare gekürzt):

  Variable c used before definition
  Suspected infinite loop. No value used in loop test (c) is modified...
  Assignment of int to char: c = getchar()
  Test expression for if is assignment expression: c = 'x'
  Test expression for if not boolean, type char: c = 'x'
  Fall through case (no preceding break)

Tatsächlich korrespondieren die beanstandeten Punkte im Quellcode mit den Programmierfehlern:

• Die Variable c wird mit 'x' verglichen, obwohl ihr vorher kein Wert zugewiesen wurde. Damit ist das weitere Verhalten des Programms undefiniert.
• Der Rückgabewert der Funktion getchar ist vom Typ int, wird aber einer Variablen vom Typ char zugewiesen. Da der Typ char nicht alle gültigen Werte von int enthält, können Mehrdeutigkeiten entstehen.
• C erlaubt Zuweisungen innerhalb von Ausdrücken. Das ist aber, wie hier, oft unbeabsichtigt.
• In einer switch-Anweisung sollte jeder Zweig explizit mit einem break abgeschlossen werden, ansonsten wird der Code des nächsten Zweiges mit ausgeführt. Bei '\n' und '\r' ist das Absicht, aber im default-Zweig nicht.

Auch ein aktueller C-Compiler wie gcc (Version 12.2.0) mit Option -Wall -Wextra -Wconversion liefert hier fünf Warnungen, die auf alle obigen Programmfehler hindeuten:

warning: this ‘while’ clause does not guard... [-Wmisleading-indentation]
   5 |   while (c != 'x');
note: ...this statement, but the latter is misleadingly indented as if it were guarded by the ‘while’
   6 |   {
warning: conversion from ‘int’ to ‘char’ may change value [-Wconversion]
   7 |     c = getchar ();
warning: suggest parentheses around assignment used as truth value [-Wparentheses]
   8 |     if (c = 'x') return 0;
warning: this statement may fall through [-Wimplicit-fallthrough=]
  13 |         printf ("Zeilenwechsel\n");
warning: ‘c’ is used uninitialized [-Wuninitialized]
   5 |   while (c != 'x');

Zum Vergleich dazu das korrekte Programm, welches von splint nicht beanstandet wird. Hierzu ist beim Aufruf von splint (Version 3.1.2) die Option +charintliteral nötig, gemäß Hinweis

A character constant is used as an int.
Use +charintliteral to allow character constants to be used as ints.
(This is safe since the actual type of a char constant is int.)

#include <stdio.h>

int main(void)
{
  int c = 0;

  while (c = getchar(), c != EOF && c != 'x')
  {
    switch (c)
      {
      case '\n':
      case '\r':
        printf ("Zeilenwechsel\n");
        break;
      default:
        printf ("%c",c);
      }
  }
  return 0;
}

Weblinks

• Webpräsenz des Splint-Projektes bei der University of Virginia