C言語 安全な文字列操作

なぜ危険なのか（バッファオーバーフロー）

#include <string.h>

int main(void) {
    char buf[8];                      // 8バイトしかない
    strcpy(buf, "This is too long!"); // 18バイト書き込み → オーバーフロー
    return 0;
}

覚えるべき原則

1. バッファのサイズを必ず明示的に関数に渡す（sizeof / 定数）
2. n系 / 範囲を取る関数を優先する（strncpy, snprintf, fgets, strtol）
3. 戻り値をチェックして切り詰めやエラーを検出する
4. 最後にNUL終端を確認する

strcpy → strncpy / snprintf

char dst[8];
strcpy(dst, src);
// src の長さを dst がチェックしない
// src が8バイト以上ならオーバーフロー

char dst[8];
strncpy(dst, src, sizeof(dst) - 1);
dst[sizeof(dst) - 1] = '\0';
// 最後に必ず'\0'を入れる

snprintf を使うのが最も無難

char dst[8];
int n = snprintf(dst, sizeof(dst), "%s", src);
// snprintf は常に'\0'終端する (size>0 のとき)
// 戻り値 n は「書きたかったバイト数」。n >= sizeof(dst) なら切り詰め発生
if (n >= (int)sizeof(dst)) {
    fprintf(stderr, "warning: truncated\n");
}

sprintf → snprintf

char buf[32];
sprintf(buf, "Hello, %s!", name);
// name が長いと buf を越える

char buf[32];
snprintf(buf, sizeof(buf), "Hello, %s!", name);
// buf のサイズで切り詰める

戻り値で切り詰めを検知

int n = snprintf(buf, sizeof(buf), fmt, ...);
if (n < 0)                 { /* エンコードエラー */ }
else if (n >= sizeof(buf)) { /* 切り詰め発生 */ }
else                       { /* OK: n バイト書き込んだ */ }

gets → fgets

char line[64];
gets(line);   // NG: 長さ制限なし

char line[64];
if (fgets(line, sizeof(line), stdin) == NULL) {
    // EOF またはエラー
}

改行を取り除く

char line[64];
if (fgets(line, sizeof(line), stdin)) {
    size_t len = strlen(line);
    if (len > 0 && line[len - 1] == '\n') {
        line[len - 1] = '\0';
    }
}

atoi → strtol

int n = atoi(s);
// s="abc" でも 0 を返す → エラーと区別できない
// s="99999999999" でも何かを返す（未定義）

#include <stdlib.h>
#include <errno.h>

errno = 0;
char *end;
long v = strtol(s, &end, 10);

if (end == s)             { /* 変換できる文字がなかった */ }
else if (*end != '\0')   { /* 途中に変な文字 */ }
else if (errno == ERANGE) { /* long の範囲外 */ }
else                      { /* 成功: 値は v */ }

実用ラッパー

#include <errno.h>
#include <limits.h>
#include <stdlib.h>

// s を int に変換できれば *out にセットし 0 を返す。失敗なら -1。
int parse_int(const char *s, int *out) {
    errno = 0;
    char *end;
    long v = strtol(s, &end, 10);
    if (end == s || *end != '\0') return -1;
    if (errno == ERANGE || v < INT_MIN || v > INT_MAX) return -1;
    *out = (int)v;
    return 0;
}

まとめ表

コンパイラの警告を有効に

gcc -Wall -Wextra -Wformat-security -Wstack-protector \
    -fstack-protector-strong -D_FORTIFY_SOURCE=2 -O2 prog.c

チャレンジ課題