tmpnam_s 不安全，因其仅生成文件名而不创建文件，易受符号链接和竞态攻击；应改用 mkstemp（posix）或 _mktemp_s + _open（windows）配合 o_creat|o_excl 原子创建。
tmpnam_s 不能防御符号链接攻击，别用它创建可写临时文件
tmpnam_s 只生成一个“看起来随机”的文件名，不创建文件，也不检查路径是否存在或是否被劫持。它返回的路径可能已被恶意进程提前创建为符号链接——你后续用 fopen 或 open 写入时，实际写入的是攻击者指定的位置。Windows 上 tmpnam_s 默认写入 C:\TEMP（可被普通用户写入），Linux 下更危险：glibc 的 tmpnam（tmpnam_s 的底层）甚至可能返回 /tmp/fileXXXXXX 这种固定前缀路径，极易被竞态攻击。
- 它不原子：名字生成和文件创建之间存在时间窗口
- 它不独占：无法保证返回路径未被占用或未被软链重定向
- 它不校验：不检查父目录权限、sticky bit、挂载选项（如
noexec、nosuid）
真正安全的做法：用 open + O_CREAT | O_EXCL | O_RDWR
核心是让内核保证“创建即独占”，绕过用户态竞态。Windows 和 POSIX 都支持该语义，但调用方式不同：
- Linux/macOS：用
mkstemp（推荐）或open+O_CREAT | O_EXCL。前者自动填充模板、设好权限、返回 fd；后者需手动拼路径、注意 umask 影响 - Windows：用
_mktemp_s+_open+_O_CREAT | _O_EXCL | _O_RDWR，但必须确保目录有FILE_ATTRIBUTE_TEMPORARY且禁用继承（否则子进程可能篡改） - 绝对不要用
fopen(..., "w")或ofstream直接打开tmpnam_s返回的路径——这等同于放弃排他性
示例（POSIX）：
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
char template[] = "/tmp/myapp_XXXXXX";<br>int fd = mkstemp(template);<br>if (fd == -1) { /* 处理错误 */ }<br>// 此时 template 中已填入真实路径，fd 可读写，文件已存在且仅你可访问
为什么 std::filesystem::temp_directory_path 不够用
std::filesystem::temp_directory_path() 只返回路径字符串，比如 /tmp 或 C:\Users\Alice\AppData\Local\Temp\。它不生成唯一名、不创建文件、不处理权限、不防竞态——本质就是个 getenv("TMP") 的封装。直接拼接 temp_directory_path() / "stub.txt" 再 std::ofstream 打开，和手写 "./temp.txt" 一样危险。
- 它不保证目录存在（某些嵌入式环境或沙箱中可能为空）
- 它不校验 sticky bit：/tmp 若无 sticky bit（
chmod +t），任何用户都能删改他人临时文件 - 它不处理 Windows ACL：返回路径可能对当前进程不可写，或允许其他用户遍历
临时文件生命周期管理的三个硬约束
即使名字和创建安全了，删错、忘删、删不掉仍会导致泄露或拒绝服务：
- 务必在
fork前创建临时文件（尤其多进程服务），否则子进程可能继承 fd 并干扰父进程清理 - 使用 RAII 封装：C++ 中优先用
std::unique_ptr持有 fd 或 FILE*，析构时close+unlink（注意：Windows 下需先close才能unlink） - 避免在信号处理函数中删除临时文件：
unlink非异步信号安全，应改用sigprocmask+ 主循环轮询标记
最常被忽略的一点：临时文件内容若含敏感数据（密钥、token、用户输入），必须在 unlink 前用 memset_s（或 explicit_bzero）清零内存缓冲区——磁盘缓存或交换分区可能残留明文。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
