Czy mogę polegać na zwracaniu wartości NULL malloc?

Question

Przeczytałem, że na systemach uniksowych, malloc można zwrócić wskaźnik nie-NULL, nawet jeśli pamięć nie jest faktycznie dostępna, a próba użycia pamięci później spowoduje błąd. Ponieważ nie mogę złapać takiego błędu przez sprawdzenie NULL, zastanawiam się, jak przydatne jest sprawdzenie w ogóle wartości NULL?

Na podobnej zasadzie, Herb Sutter mówi, że obsługa błędów pamięci C++ jest bezużyteczna, ponieważ system przechodzi w skoki stronicowania na długo przed wystąpieniem wyjątku. Czy dotyczy to również malloc?

Answer 1

Cytowanie Linux manuals:

Domyślnie Linux następująco optymistyczną strategię alokacji pamięci. Oznacza to, że gdy malloc() zwraca wartość inną niż NULL, nie ma gwarancji, że pamięć jest rzeczywiście dostępna. To jest naprawdę zły błąd. Jeśli okaże się, że w systemie brakuje pamięci, jeden lub więcej procesów zostanie zabitych przez niesławnego zabójcę OOM. W przypadku Linuksa jest zatrudniony w warunkach, gdzie byłoby mniej pożądane nagle stracić niektóre losowo odebrał procesów, a ponadto wersja jądra jest wystarczająco niedawno, można wyłączyć tę overcommitting zachowanie pomocą polecenia jak:

# echo 2 > /proc/sys/vm/overcommit_memory 

Powinieneś sprawdzić pod kątem powrotu do NULL, szczególnie w systemach 32-bitowych, ponieważ przestrzeń adresowa procesu mogła zostać wyczerpana dużo wcześniej niż RAM: w 32-bitowym systemie Linux proces użytkownika może mieć na przykład dostępną przestrzeń adresową 2G - 3G w przeciwieństwie do 4G całkowitej pamięci RAM. W systemach 64-bitowych sprawdzanie kodu powrotnego może być bezużyteczne, ale i tak może być uważane za dobrą praktykę, a to czyni twój program bardziej przenośnym. I pamiętaj, że dereferencja z zerowym wskaźnikiem zabija twój proces na pewno; niektóre zamiany mogą nie zaszkodzić dużo w porównaniu do tego.

Jeśli malloc stanie wrócić NULL gdy ktoś próbuje przeznaczyć tylko niewielką ilość pamięci, a następnie trzeba być ostrożnym, gdy próbuje odzyskać od stanu błędu, jak każdy kolejny malloc może zabraknąć też aż tyle dostępnej pamięci.

Domyślny operator C++ new jest często opakowaniem o tych samych mechanizmach alokacji używanych przez malloc().

Answer 2

W systemie Linux, nie można rzeczywiście polegać na malloc powracającego NULL jeśli wystarczająca ilość pamięci nie jest dostępna z powodu strategii zawyżone jądra, ale należy jeszcze sprawdzić, bo w pewnych okolicznościach mallocbędzie powrót NULL, np gdy poprosisz o więcej pamięci niż jest dostępna w urządzeniu w sumie. Strona Linux malloc(3) nazywa generowanie "naprawdę złym błędem" i zawiera porady, jak go wyłączyć.

Nigdy nie słyszałem o tym zachowaniu występującym również w innych wersjach Uniksa.

Co do "skurczu stronicowania", zależy to od konfiguracji urządzenia. Np. Zwykle nie instaluję partycji wymiany na instalacjach Linux na komputer przenośny, ponieważ dokładne zachowanie, które się obawia, może zabić dysk twardy. Wciąż chciałbym programów C/C++, które uruchamiam, aby sprawdzić wartości zwracane, dać odpowiednie komunikaty o błędach i jeśli to możliwe, oczyścić po sobie.

Answer 3

tego poglądu z alternatywnego punktu widzenia:

„malloc może zwrócić niezerowe wskaźnik nawet jeśli pamięć nie jest faktycznie dostępny” nie oznacza, że ​​zawsze zwraca niepuste. Mogą być (i będą) przypadki, w których zwracana jest wartość NULL (jak już powiedzieli inni), więc ta kontrola jest jednak niezbędna.

Answer 4

Sprawdzenie zwrotu malloc nie pomaga samemu, aby twoje alokacje były bezpieczniejsze lub mniej podatne na błędy. Może to być nawet pułapka, jeśli jest to jedyny test, który zastosujesz.

Po wywołaniu z argumentem 0 standard zezwala na to, aby malloc zwrócił unikalny adres, który nie jest wskaźnikiem zerowym, a do którego użytkownik nie ma prawa dostępu. Jeśli więc po prostu przetestujesz, czy zwrot jest 0, ale nie przetestuj argumentów na malloc, calloc lub realloc, możesz natrafić na błąd segfault znacznie później.

Ten błąd (pamięć wyczerpana) występuje dość rzadko w środowiskach "hostowanych". Zwykle masz kłopoty na długo przed tym, zanim natkniesz się na ten rodzaj błędu. (Ale jeśli piszesz biblioteki uruchomieniowe, jesteś hakerem jądra lub konstruktorem rakiet, to jest inaczej i tam test ma sens).

Ludzie mają tendencję do ozdabiania swojego kodu skomplikowanymi chwytami tego błędu, który obejmuje kilka linie, robienie perror i podobne rzeczy, które mogą mieć wpływ na czytelność kodu.

Myślę, że to "sprawdź powrót malloc" jest znacznie zawyżone, czasami nawet bronione dość dogmatycznie. Inne rzeczy są znacznie ważniejsze:

• zawsze inicjalizuj zmienne, zawsze. dla zmiennych wskaźnika jest to kluczowe, niech program się psuje, zanim wszystko pójdzie źle. niezainicjowani członkowie wskaźnika w numerach struct są ważną przyczyną błędów, które są trudne do znalezienia.
• zawsze sprawdzić argument malloc and Co., czy jest to stała czas kompilacji jak sizof toto nie może być problemem, ale zawsze upewnić się, że przydział wektor obsługuje sprawę właściwie zerowe.

Łatwo sprawdzić pod kątem powrotu malloc jest opakować coś podobnego do memset(malloc(n), 0, 1). To po prostu zapisuje 0 w pierwszym bajcie i ładnie się zawiesza, jeśli malloc miał błąd lub na początku był.