C++如何安全地使用strcpy-C++-PHP中文网

strcpy不能安全使用，因其无长度参数、仅依赖'\0'终止，源未正确结尾必致确定性溢出；应强制改用strcpy_s（需传缓冲区总大小并检查返回值）或snprintf等替代方案。

c++如何安全地使用strcpy

别用 strcpy，直接换 strcpy_s 或 snprintf —— 这不是建议，是必须做的操作。

为什么 `strcpy` 不能“安全使用”

很多人想“控制好输入长度”来让 strcpy 安全，但这是错觉。strcpy 的设计里根本没有长度参数，它只认 '\0'。只要源字符串没以 '\0' 结尾（比如读取二进制数据、内存损坏、或 strncpy 截断后忘了补 '\0'），strcpy 就会一路扫下去，直到撞上随机内存里的 '\0' —— 这不是溢出风险，是确定会溢出。

常见错误现象：

程序在某些输入下崩溃，调试时发现 dest 后面的变量被莫名改写
用 valgrind 或 ASan 报 buffer-overflow，但代码看起来“明明够大”
编译器（如 MSVC）直接报错 C4996：“strcpy has been deprecated”

`strcpy_s` 的正确调用方式

strcpy_s 不是“加个参数就完事”，它要求你显式传入目标缓冲区总大小（不是可用长度），且失败时不静默截断，而是返回错误码并清空目标缓冲区（部分实现）。

关键点：

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

destsz 必须是整个数组字节数，比如 char buf[256]，就得传 256，不是 strlen(buf) 或 255
必须检查返回值：0 表示成功；ERANGE 表示源字符串太长（含 '\0'），此时 dest 可能已被设为全零或仅含 '\0'
MSVC 默认启用运行时约束处理函数（如终止进程），若不想 crash，需提前调用 _set_invalid_parameter_handler 或定义 _CRT_SECURE_NO_WARNINGS

示例：

char username[32];
errno_t err = strcpy_s(username, _countof(username), input);
if (err != 0) {
    // 处理 ERANGE：提示输入过长，或 fallback 到截断逻辑
    username[0] = '\0';
}

没有 `strcpy_s` 怎么办（Linux / GCC 场景）

strcpy_s 是 C11 Annex K 标准，但 GCC 默认不启用，Clang 基本不支持。这时候别硬套，用更通用、更可控的方式：

优先用 snprintf(dest, size, "%s", src)：自动保证结尾 '\0'，且返回值告诉你是否截断（返回值 ≥ size 表示被截）
若必须用底层复制，改用 strlcpy（OpenBSD 衍生，glibc 2.39+ 已支持）：它总是以 '\0' 结尾，返回源长度，便于判断是否截断
绝对避免 strncpy：它不保证结尾 '\0'，且当源长度 ≥ 目标大小时，目标缓冲区末尾不会写 '\0'，极易导致后续 strlen 越界

示例（跨平台兼容）：

char path[PATH_MAX];
int n = snprintf(path, sizeof(path), "%s/%s", base, file);
if (n >= (int)sizeof(path)) {
    // 截断了，需要处理错误或扩大缓冲区
}

容易被忽略的边界点

即使换了安全函数，下面这些地方仍会翻车：

dest 是动态分配指针（如 char* p = new char[100]），传给 strcpy_s(p, 100, src) 看似合理，但 _countof(p) 会失效 —— 此时必须自己记下长度，且确保没算错
多线程环境下，如果 src 是其他线程正在修改的字符串，strcpy_s 仍可能读到中间状态（安全函数不解决并发问题）
Windows 上开启 SAL 注解（如 _In_z_、_Out_writes_(size)）能帮静态分析器提前发现问题，但得配对写，漏一个就失去意义