前军教程网

中小站长与DIV+CSS网页布局开发技术人员的首选CSS学习平台

格式串基本规则(格式串漏洞)


编程语言毕竟是文本,只在ASCII码内无法表达更多的含义,如果不用新的函数或者关键字,就需要用“转义”的字符串格式来代表特定格式串。这就是格式串的来源。


格式

  • C语言的格式串比较典型,采用%符号作为格式类型前缀,避免编译器当做普通%字符。此方法有一定优势,同一个内存变量可以用不同%格式表达,可以随心控制。
  • C++除了继承它,iostream提供了新的设定模式,形如ios setw/setprecision/fixed等属性,它依托输入输出流对象属性。C++20引入了std::format()集成了格式化的优点,颇有C#风格,例如:

std::format("Age: {}, sex: {}", 28, 1) // 输出Age: 28, sex: 1

std::format("{1}, {0}, {1}", 1, 2) // 输出2, 1, 2

C++20也提供了自定义类型parse/format方法std::formatter类。

  • C#改进了C语言必须写%格式符的问题,用{0} {1}表达不同变量,C# 6.0之后更甚,0和1都不用输入,利用字符串前添加$将变量放入{}即可。
  • Python除了类似C语言的%格式串,还提供字符串的format方法,Python 3.6以上还提供f-string创建格式串,它和C#的{}占位符类似,例如f"name: {name}, sex: {sex}".

%格式串需要在真实变量前统一加%,稍显繁琐,例如print("%d %d", % (a, b)).

Python 2.6开始支持字符串format方法,虽然也可以完成f-string同样的功能,但稍显繁琐:
What’s New in Python 2.6  Python 3.12.7 documentation

f-string格式串还支持插入函数,例如f"{len(str)}"是str的长度。

  • Swift也提供了一种简约的字符串插值方式,形如:let s3 = "\(str1) \(str2)"
  • Rust使用{}格式实现字符串插值。
  • Java对于简约格式串的支持比较落后,Java 15开始才支持formatted方法,但其方便程度只能和原始的C语言%格式串属于一个级别。


不同格式符

  • C语言%d对应整形,%hd和%ld对应短整形和长整形。格式串解析是在libc完成。不能有%h或%l格式串,会产生冲突。VS2019编译C代码只有%h格式符: 编译警告: 格式字符串“%h”未终止
  • 如果新增格式符,可以选择没有用过的符号。


格式串安全

  • C语言可以自由使用格式化,且printf第一个参数为const char *也可有程序员指定,形如printf(s)有很大风险。可以构造字符串s中的格式符,误导程序去访问特定内存。scanf同样可以构造带特定格式,产生一些有趣或危险的结果。








若文章对您有帮助,欢迎关注。助您在编程路上越走越好!

微风不燥,阳光正好,你就像风一样经过这里,愿你停留的片刻温暖舒心。

我是程序员小迷(致力于C、C++、Java、Kotlin、Android、iOS、Shell、JavaScript、TypeScript、Python等编程技术的技巧经验分享),若作品对您有帮助,请关注、分享、点赞、收藏、在看、喜欢,您的支持是我们为您提供帮助的最大动力。

发表评论:

控制面板
您好,欢迎到访网站!
  查看权限
网站分类
最新留言