- NASA的10条代码编写原则及原因分析

程序的断言密度（Assertion density）应平均保持为每个函数最少两个断言。断言可用于检查现实运行过程中本绝不应出现的异常状况，因此应定义为Boolean测试。当断言失败后，应执行明确的恢复操作。

如果静态检查工具证明断言绝对不会Fail或Hold，则可认为未遵守该原则。

原因：业界的代码编写工作统计报告显示，通过单元测试可发现，通常我们所编写的每10-100行代码中至少会存在一处缺陷。随着断言密度的增高，拦截缺陷的机会也会增大。

断言的另一个重要之处在于，它是防御性编程（Defensive coding）策略的重要组成部分。我们可以使用断言验证函数执行前后的状况，函数的执行参数和返回值，以及循环不变式（Loop-invariant）。在完成性能关键代码的测试工作后，可将断言选择性地禁用。

原则6 – 以最小范围级别声明数据对象（Declare Data Objects at Smallest Level of Scope）

该原则同时也是数据隐蔽（Data hiding）的基本原则。所有数据对象均必须以尽可能最小的范围级别进行声明。

原因：如果某对象不在范围内，意味着其值将无法引用或已损坏。该原则不鼓励出于多种可能导致故障诊断工作变得更复杂的互斥意图重用变量。

原则7 – 检查参数和返回值（Check Parameters and Return Value）

应在每次调用函数后检查非空函数的返回值，并应在每个函数内部检查参数的合法性。

在最严格的形式下，该原则意味着就算printf语句和文件close语句的返回值也应进行检查。

原因：如果对一个错误结果的响应与对成功结果的响应本不应有任何区别，那么很明显需要检查返回值。通常对close和printf的调用便符合这种情况。此时一种可行的方法是将函数的返回值明确抛出给void，这意味着开发者明确（而非意外地）决定忽略该返回值。

原则8 – 限制预处理程序的使用（Limited Use of Preprocessor）

预处理程序（Preprocessor）应仅限用于头文件和宏定义。递归的宏调用、令牌传递，以及变量参数列表均不允许使用。就算大型应用程序开发工作中，标准样板文件（Boilerplate）之外也可能有必要使用一两个以上的条件编译指令，这是为了避免将同一个头文件包含多次。每个这种用法必须通过工具检查器添加标记，并通过代码阐述原因。

原因：C语言预处理程序是一个强大但较为含糊的工具，有可能彻底破坏代码的清晰度，并让很多基于文本的检查器产生混淆。就算具备正式的语言定义，包含无界限预处理程序代码的构造也会显得非常难以解读。

有关条件编译的注意事项同样很重要 – 就算只使用10个条件编译指令，代码也有会产生1024（2^10）个可能的版本，这会导致测试工作量剧增。

原则9 – 限制指针的使用（Limited Use of Pointers）

指针的使用必须加以限制。通常只允许不超过一层的解引用（Dereferencing）。指针解引用操作不应隐藏在typedef声明或宏定义内部。此外函数指针也是不允许使用的。

原因：指针很容易被滥用，就算专家也难以彻底避免。指针的存在会使得我们难以跟踪或分析程序中数据的流动，尤其是在使用基于工具的静态分析器执行这些操作时。函数指针还会对静态分析器所能执行的检查类型产生限制，因此除非有非常必要的理由，否则一般不推荐使用。如果使用函数指针，通常几乎将无法通过工具证明递归的缺席，此时只能提供其他方法弥补这种分析能力的缺失。

原则10 – 编译所有代码（Compile all Code）

从开发工作第一天开始时，就必须对所有代码进行编译。必须启用编译器的警告功能，并使用最细致的检查选项。代码必须能通过这样的设置在不产生任何警报的情况下顺利编译完成。

所有代码必须每天一次、使用至少一种（多种则更好）最新型的静态源代码分析器进行检查，并且必须顺利通过分析器的整个检查过程而不产生任何警告。

原因：市面上有很多效果卓越的源代码分析器，其中很多甚至是以免费软件的形式发布的。对于这样可以直接使用的现成技术，任何软件开发工作都没理由不加以充分利用。

如果编译器或静态分析器遇到问题，导致问题/错误的代码必须重写，这样才能进一步改善代码质量。

NASA对这些原则的看法为：“这些原则就如同汽车安全带，也许一开始会觉得有些不舒适，但很快会变成每个人的第二本能，到时候很难想象会有人不这么做。”

此文在Reddit引发了热烈的讨论，现将部分有价值内容摘录如下：

本文的很多原则提到使用静态代码分析器进行分析是一种更简单可靠的办法。如果我在开发C或C++代码，有什么好用的免费静态代码分析器吗？一方面我想看看这些分析器的工作效果，另一方面，我一直在使用另一个极为糟糕的分析器，想对比一下来了解原本使用的分析器到底有多糟糕。

我觉得有必要提醒大家，本文所说的“安全关键程序”是一种面向特定领域的术语。每次网上流传类似这样的东西时，大家都会试图将相关内容应用在一般常规用途的软件中，但实际上除非你的软件中出现的无法处理的异常真的会致命，否则并不需要如此严格（也许也不应该这样做，因为大部分此类原则会在代码可读性和可维护性方面造成不小的麻烦）。

原则3 – 不使用动态内存分配

这条让我大吃一惊。我很好奇，如果不使用动态内存分配，你到底如何编写哪怕很小规模的程序！是否就只在程序运行时分配一大块内存，随后程序的所有执行都在这块内存中进行？

我倒是对于NASA使用C语言感觉惊讶，我本想着他们会使用Ada之类的东西。

这些原则中很多原则与我在ASEA（现ABB）担任开发者时所遵守的原则是相同的，抛开这些不谈，同时抛开有关预处理程序的原则不谈，我们当时主要使用Pascal，对于递归函数也制订了相应的原则。我编写了一个预处理程序，这样就可以保证开发者能够获得恰当的声明，而无需担心这些问题，此外我们还会按照标准设置程序代码的缩进和格式，毕竟每个程序员在代码格式方面都有一些个人偏好。所有程序都有必要在这些问题方面由其他程序员进行交叉检查。

他们为什么不把这些原则强制应用到编译器中？可以通过 -WNasa 或其他类似的东西告诉开发者是否违反了这些原则。此外还需要使用 std lib C 来维护这些严格的原则。

建议挺好，就是不明白为什么不用自动化的方法来应用（或者他们正是这样做的？）