NASA分享的10条开发安全关键代码注意事项

eric2013

P10.pdf (36.42 KB)

翻译的不一定准确，推荐直接看英文版

（1）将所有代码限制为非常简单的控制流结构，不要使用goto语句、setjmp 或 longjmp 构造以及直接或间接的递归调用
（2）所有循环都必须有一个固定的上界。
（3）初始化后不要使用动态内存分配。
（4）任何函数都都不应超过可以打印在单张论文纸上的长度，每条语句一行，每条语句一行声明。通常，这意味着每个函数不超过 60 行代码。
（5）每个函数的断言，至少要有两个。
（6）数据对象必须在尽可能小的范围内声明
（7）函数的返回值和函数的形参有效性必须做检测。
（8）预定义宏限用于包含的头文件和简单的宏定义。
（9）指针的使用应该受到限制。具体来说，不超过一级指针。指针解引用操作不能隐藏在宏中定义或在 typedef 声明中。不允许使用函数指针（使用函数指针后，分析功能可能无法检测是否有递归问题）。
（10）从编写代码的第1天开始，编译器的所有编译警告设置要全开，所有的代码编译后必须零警告，并且使用静态分析工具分析后，也必须保证零警告。

soga238

太严苛了，仅供参考

emwin

毕竟是NASA，求稳为主，效率次之

tovinz

其实国军标航天系的也差不多，上学时候是航天专业的，选修过飞行器软件测试的课程

eric2013

到这种级别，确实是逻辑越简单越好，越稳定越好。

missfox

看来我曾经做的跑马灯是最安全的

handshake

https://blog.csdn.net/quincyfang/article/details/124463776
这里有个翻译好的。