VS SDL

越甲八千

已于 2025-03-11 23:17:21 修改

阅读量803

点赞数 23

分类专栏：【MFC】【道阻且长C++】文章标签： c++

于 2025-03-11 23:15:44 首次发布

本文链接：https://blog.csdn.net/doubleintfloat/article/details/146191686

版权

【道阻且长C++】同时被 2 个专栏收录

202 篇文章

订阅专栏

【MFC】

64 篇文章

订阅专栏

文章目录

1、什么是SDL
2 、开启和关闭SDL的影响

在 Visual Studio 2022（VS2022）中，SDL（Security Development Lifecycle，安全开发生命周期）检查是一项重要的安全功能，它主要用于帮助开发者在代码开发过程中发现并避免一些常见的安全漏洞和潜在的错误，以下是关于它的详细介绍：

1、什么是SDL

基本原理

SDL 检查通过静态代码分析技术，在编译阶段对代码进行扫描，依据一系列安全规则和最佳实践来检查代码。这些规则是基于微软多年的安全开发经验和对常见安全漏洞的研究制定的，能够检测出代码中可能存在的安全隐患和不符合安全规范的代码模式。

主要作用

1. 检测缓冲区溢出问题

缓冲区溢出是一种常见且危险的安全漏洞，攻击者可以利用它来执行恶意代码、获取系统权限等。SDL 检查会对使用缓冲区操作的代码进行检查，例如 strcpy、sprintf 等函数，因为这些函数在使用时如果没有正确处理缓冲区大小，很容易导致缓冲区溢出。SDL 会建议使用更安全的替代函数，如 strcpy_s、sprintf_s 等。

// 不安全的代码，可能导致缓冲区溢出
char buffer[10];
strcpy(buffer, "This is a very long string"); 

// 使用 SDL 建议的安全函数
char buffer[10];
strcpy_s(buffer, sizeof(buffer), "This is a very long string");

2. 避免未初始化变量的使用

未初始化的变量可能包含随机值，使用这些变量会导致程序行为不可预测，甚至引发安全问题。SDL 检查会找出代码中使用未初始化变量的地方，提醒开发者进行初始化操作。

int value;
// 未初始化变量的使用，可能导致不可预期的结果
std::cout << value;

3. 防止空指针解引用

空指针解引用是一种常见的编程错误，会导致程序崩溃。SDL 检查会检测代码中是否存在对空指针进行解引用的操作，并给出相应的警告。

int* ptr = nullptr;
// 空指针解引用，会导致程序崩溃
*ptr = 10;

4. 检查不安全的函数调用

除了上述提到的缓冲区操作函数，SDL 还会检查其他一些不安全的函数调用，如 gets 函数，它无法限制输入的长度，容易引发缓冲区溢出问题。SDL 会建议使用更安全的替代函数，如 fgets。

// 不安全的函数调用
char buffer[10];
gets(buffer); 

// 使用更安全的函数
char buffer[10];
fgets(buffer, sizeof(buffer), stdin);

2 、开启和关闭SDL的影响

在 VS2022 中，可以按照以下步骤开启和配置 SDL 检查：

打开项目属性页：在解决方案资源管理器中右键单击项目，选择“属性”。
配置 SDL 检查：在“配置属性” -> “C/C++” -> “常规”中，找到“SDL 检查”选项，将其设置为“是 (/sdl)”即可开启 SDL 检查。同时，还可以在“代码分析”选项中进一步配置检查规则和输出选项。

注意事项

可能产生误报：虽然 SDL 检查可以发现很多潜在的安全问题，但有时也可能会产生误报。开发者需要根据实际情况对警告信息进行分析和判断，对于确实存在安全隐患的代码要及时进行修复。
性能影响：开启 SDL 检查会增加编译时间，因为编译器需要对代码进行额外的静态分析。在开发过程中，如果对编译速度有较高要求，可以暂时关闭 SDL 检查，但在发布版本前建议开启以确保代码的安全性。
即便代码完全相同，开启和关闭 SDL 检查时程序表现不同（开启正常运行，关闭崩溃），这可能和 SDL 检查在编译过程中带来的底层影响有关，下面为你详细分析可能的原因和解决办法：

1. 编译器优化与代码行为改变

原理：SDL 检查开启时，编译器可能会因为要遵循安全规则而调整优化策略。当关闭 SDL 检查，编译器采用不同的优化级别，可能会暴露出代码中隐藏的问题，导致程序崩溃。
解决办法：在项目属性中调整编译器的优化级别，尝试将优化级别设置为和开启 SDL 检查时相近的状态，看是否能解决崩溃问题。在 Visual Studio 里，你可以在“配置属性” -> “C/C++” -> “优化”中进行设置。

2. 运行时库的差异

原理：SDL 检查会让编译器使用更安全的运行时库版本。开启 SDL 检查时，程序链接的是经过安全增强的运行时库，这些库可能对一些操作进行了额外的检查和保护；关闭 SDL 检查后，链接的是普通的运行时库，缺少这些保护机制，从而使潜在的问题暴露出来。
解决办法：检查项目的链接器设置，确保在关闭 SDL 检查时也使用合适的运行时库。在“配置属性” -> “链接器” -> “常规” -> “附加库目录”和“配置属性” -> “链接器” -> “输入” -> “附加依赖项”中进行相应的设置。

3. 代码中依赖的隐式行为

原理：代码可能依赖了 SDL 检查开启时编译器的一些隐式行为，例如对未初始化变量的默认处理、函数调用约定等。关闭 SDL 检查后，这些隐式行为发生变化，导致程序崩溃。
解决办法：对代码进行全面审查，确保不依赖于编译器的隐式行为。例如，明确初始化所有变量，指定函数调用约定（如 __stdcall、__cdecl 等）。

4. 静态代码分析触发的代码调整

原理：SDL 检查作为一种静态代码分析工具，可能会触发编译器对代码进行一些内部调整，比如插入额外的检查代码、调整指令顺序等。这些调整在开启 SDL 检查时保证了程序的正常运行，关闭后就可能引发崩溃。
解决办法：对代码进行详细的调试，在关闭 SDL 检查的情况下，使用调试器逐步执行代码，找出崩溃发生的具体位置和原因。在 Visual Studio 中，可以使用“调试” -> “开始调试”功能，设置断点，观察变量的值和程序的执行流程。

5. 环境变量和配置文件影响

原理：某些环境变量或者配置文件可能会在开启 SDL 检查时被修改，从而影响程序的运行。关闭 SDL 检查后，这些修改没有生效，导致程序崩溃。
解决办法：检查项目的环境变量设置和相关的配置文件，确保在开启和关闭 SDL 检查时环境一致。你可以在“配置属性” -> “调试” -> “环境”中查看和修改环境变量。