搞C语言开发的人应该都有过这种经历明明只是调了一个字符串复制函数程序却崩溃在某个莫名其妙的角落明明结果打印出来是对的一上压力测试就段错误明明代码跟教科书上一模一样换个平台就行为诡异。这些十有八九都跟string.h有关。这个头文件是C语言字符串处理的基石也是缓冲区溢出、野指针、未定义行为的高发区。这篇文章我把string.h的常用函数掰开揉碎讲一遍每个函数都配上可运行的示例代码再把那些最容易踩的坑一个一个列出来。不管你是刚学C语言的学生还是写了几年嵌入式或服务端的老手这篇文章都能帮你在字符串处理上少走弯路。1. 先看清string.h的全貌字符串不是类型是约定1.1 C语言字符串的真相以\0结尾的字符数组很多从Python、Java转过来的人刚开始写C的时候总会下意识地把字符串当成一种自带长度的数据类型。但C语言里根本没有字符串类型所谓字符串不过是一个字符数组再加上一条所有人都必须遵守的约定在有效字符的末尾放一个值为0的字符也就是\0作为结束标记。string.h里的绝大多数函数都依赖这个约定。strlen从起始地址开始往后数直到遇见\0为止这个\0本身不计入长度。strcpy从源地址逐个复制直到把源字符串的\0也复制过去为止。换句话说**这些函数眼里根本没有缓冲区有多大的概念它们只知道从哪里开始到哪里结束。**这个设计在早期内存宝贵的时代非常高效但代价就是一旦数组越界函数不会像Java那样抛出异常而是直接读写未知内存带来未定义行为。所以在使用string.h之前先要建立第一个认知字符串函数处理的是字符序列 结束标记而不是有长度信息的对象。所有相关操作的本质都是指针对指针的移动和字节的比较。1.2 一张表记住头文件里都有谁string.h的函数不可能一个一个全用到但按功能分类之后整个头文件的轮廓就很清晰了分类函数用途求长度strlen返回字符串长度不计\0复制strcpystrncpy把源字符串复制到目标缓冲区拼接strcatstrncat把源字符串追加到目标字符串末尾比较strcmpstrncmpmemcmp比较字符串或内存块字符查找strchrstrrchrmemchr在字符串/内存中查找指定字符子串查找strstr查找子串第一次出现的位置分隔strtok按分隔符切分字符串集合查找strspnstrcspnstrpbrk按字符集合做扫描内存操作memsetmemcpymemmove对内存块进行设置、复制、移动错误信息strerror根据错误码返回描述字符串后面几节我会把主要类别逐个实战演示。冷门的strspn、strcspn、strpbrk虽然用得少但在某些解析场景里简直是神器也会提一下。1.3 strlen与sizeof最容易被混用的两个概念新手最常犯的一个错误是把strlen和sizeof混为一谈。看下面这段代码#include stdio.h #include string.h int main(void) { char buf[100] hello; printf(sizeof(buf) %zu\n, sizeof(buf)); printf(strlen(buf) %zu\n, strlen(buf)); return 0; }运行结果分别是100和5。sizeof是运算符在编译期就能算出这个数组总共占了多少字节跟里面存了什么无关strlen是函数运行时逐个字符扫描返回\0之前有效字符的个数。这个区别在写strncpy、fgets这类需要指定长度的函数时特别关键。如果混淆了它们很容易出现复制长度不够或缓冲区越界的问题后面第4节会专门展开讲。2. 字符串核心操作拷贝、拼接、比较、查找的完整示例2.1 拷贝操作strcpy的隐患与snprintf的安全替代strcpy是最基础的字符串复制函数用法很简单#include stdio.h #include string.h int main(void) { char dst[32]; const char *src hello world; strcpy(dst, src); printf(dst %s\n, dst); return 0; }strcpy(dst, src)会从src开始把字符连同结尾的\0一起复制到dst一直复制到遇到\0为止。这里隐含着一个关键问题strcpy根本不知道dst有多大。如果src的实际长度超过dst的容量它一样会往后面写直接把栈上其他变量的内存覆盖掉。这可不是应该会报错而是彻头彻尾的未定义行为表现可能是程序崩溃也可能是数据被静默篡改甚至被利用为漏洞攻击的入口。更安全的替代方案有两个。第一个是strncpy加手动补\0char dst[32]; const char *src hello world; strncpy(dst, src, sizeof(dst) - 1); dst[sizeof(dst) - 1] \0;用sizeof(dst) - 1表示最多复制31个字符然后主动把最后一个位置写成\0这样即使源字符串超过长度目标也始终是合法字符串。第二个方案我用得更多是直接用snprintfchar dst[32]; const char *src hello world; snprintf(dst, sizeof(dst), %s, src);snprintf的优点在于它一定会在目标末尾写\0不需要额外补一步。如果源字符串太长它会截断并保证缓冲区不溢出。无论是复制还是格式化输出snprintf在大多数场景下都比strcpy/strcat更省心。2.2 拼接操作先用公式算好剩余容量再用strncatstrcat把源字符串接到目标字符串的末尾并覆盖掉原来的\0。例如char dst[16] hello; strcat(dst, , world); printf(dst %s\n, dst); // hello, world这段代码看上去没问题但dst只有16字节拼接后的字符串是12个字符加\0刚好能放下。如果源字符串稍微长一点点比如项目后期有人把, world换成了, beautiful worldstrcat就会直接写出边界。strcat和strcpy的本质问题相同不检查目标缓冲区剩余空间。标准库提供了strncat它接收一个最多追加的字符数。注意这里的n不是目标缓冲区的总大小而是允许追加的最大字符数。正确的做法是先算出剩余容量再调用char dst[32] hello; const char *src world; size_t cur strlen(dst); size_t remaining sizeof(dst) - cur - 1; strncat(dst, src, remaining);公式sizeof(dst) - strlen(dst) - 1的含义是总容量减去已经使用的字符数再减去一个留给\0的位置。这样写虽然多几行但缓冲区边界是明确控制的。strncat自身有个很好的行为追加完成后一定会写\0所以不用像strncpy那样手动补。2.3 比较操作strcmp返回值的真实含义strcmp用来比较两个字符串按字典序逐个字符比较ASCII值遇到第一对不同就停下#include stdio.h #include string.h int main(void) { const char *a apple; const char *b banana; int ret strcmp(a, b); if (ret 0) { printf(a 小于 b\n); } else if (ret 0) { printf(a 大于 b\n); } else { printf(a 等于 b\n); } return 0; }这里有个高频误区很多人以为strcmp一定会返回-1、0、1但标准只说了返回小于0、等于0、大于0的整数具体数值取决于实现。所以千万不要写if (strcmp(a, b) -1)这种代码正确写法是跟0比较。另一个高频误区是拿直接比较字符串。因为a b比较的是两个指针的地址不是内容。哪怕两个字符串内容完全一样只要它们存放在不同地址结果就是假。这在处理用户输入、配置项时非常容易踩。如果只想比较前n个字符用strncmpconst char *cmd GET /index.html; if (strncmp(cmd, GET, 3) 0) { printf(是GET请求\n); }strncmp比较到n个字符为止适合做前缀匹配。配合sizeof(GET)-1之类的写法还能避免把请求串里的GETX也误判成GET。2.4 查找操作strchr、strrchr、strstr和几个好用的冷门函数strchr在字符串中查找一个字符第一次出现的位置返回指向该位置的指针strrchr则是最后一次出现的位置。经典用途是解析路径#include stdio.h #include string.h int main(void) { const char *path /home/user/file.txt; const char *slash strrchr(path, /); if (slash ! NULL) { printf(文件名: %s\n, slash 1); // file.txt } return 0; }strstr查找子串第一次出现的位置返回指向子串起点的指针找不到则返回NULL。注意在使用返回的指针对它做偏移或解引用之前一定要先判断是否为NULL。strchr和strstr的返回都是char *这在旧代码里有个坑如果传入的是const char *返回值依然可以修改字符串内容类型上会产生警告甚至未定义行为。现代写法建议用const char *去接收返回值。冷门函数里我非常喜欢strcspn它返回字符串开头连续不属于某个字符集合的长度。配合换行符清理非常经典char line[128]; fgets(line, sizeof(line), stdin); line[strcspn(line, \n)] \0;这一行会把fgets读进来的换行符替换成\0不用再手动找\n的位置。strspn则反过来返回开头连续属于某个字符集合的长度比如可以轻松找出字符串开头的连续数字有多少个。strpbrk用于查找第一个出现在指定字符集合中的字符在解析协议头时一次能匹配多个分隔符。3. 内存操作三件套memcpy、memmove、memset的使用边界3.1 memcpy快是快但看不到重叠边界memcpy按字节数复制内存不关心内容是什么适合复制结构体、整数数组、字节流。示例#include stdio.h #include string.h int main(void) { int src[5] {1, 2, 3, 4, 5}; int dst[5]; memcpy(dst, src, sizeof(src)); for (int i 0; i 5; i) { printf(%d , dst[i]); } printf(\n); return 0; }第三个参数是字节数用sizeof(src)最保险。但memcpy有一个非常硬性的要求**源和目的的内存区域不能重叠。**一旦重叠行为是未定义的。原因是memcpy可能按从前往后的顺序复制如果目标和源有交叠就可能在复制过程中把还没读到的源数据覆盖掉。比如在同一个数组内做移位复制或者把结构体的一部分复制到另一部分都属于危险操作。3.2 memmove不想动脑时的安全选择memmove做的事情和memcpy一样都是复制n个字节但它明确允许源和目的重叠。实现上会先判断方向必要时从后往前复制保证即使重叠也不会把源数据搞坏。所以当你不能确定两个缓冲区是否重叠时直接选memmove#include stdio.h #include string.h int main(void) { char s[] abcdef; memmove(s 2, s, 4); printf(s %s\n, s); // ababcd return 0; }这段代码把abcd复制到s2的位置结果abcdef变成了ababcd。如果用memcpy做同样的操作结果不可预期在多数实现上会得到ababab之类的错乱结果。另一个常见场景是在数组中间插入或删除一段元素统一用memmove就省掉一长串方向判断。有人担心memmove性能差其实在现代编译器里memmove和memcpy对于不重叠的简单情况几乎没有差别库实现会走同样的快速路径。只有在重叠时才需要额外的判断分支这个成本通常可以忽略。我的原则是宁可损失一点性能也不想为重叠问题背锅。3.3 memset清零、初始化和一个容易被忽略的问题memset用来把一块内存的每个字节都设置为同一个值最常见的用法是清零和初始化char password_buf[128]; memset(password_buf, 0, sizeof(password_buf)); struct config cfg; memset(cfg, 0, sizeof(cfg));第二个参数是字节值第三个参数是字节数。很多人以为memset(buf, 1, n)能把整数数组的每个元素初始化成1实际上它把每个字节都设成0x01对于int数组来说每个元素会变成16843009。想给数组元素赋整数值应该用循环或初始化列表。还有一个容易被忽略的问题memset(cfg, 0, sizeof(cfg))把结构体清零依赖的是全零位模式表示空指针、浮点数0这种平台约定。在几乎所有的现代平台上没问题但C标准并没有严格保证。更地道的做法是直接定义时初始化struct config cfg {0};这样所有成员都会被初始化为0而且语义更清晰。对于结构体中的指针、浮点数大括号初始化是更可靠的方式。struct config { char name[32]; int port; double ratio; }; struct config cfg {0};跟memset效果基本一致但更安全、更直观。我一般在临时把缓冲区清零时用memset在定义结构体并初始化为0时用大括号初始化分工明确。4. 避坑手册string.h里那些反复让人翻车的隐藏细节4.1 strcpy缓冲区溢出一场随时可能发生的崩溃先看一个实验。下面这段代码用固定缓冲区接收用户输入然后复制到另一个更小的缓冲区里#include stdio.h #include string.h int main(void) { char big[64]; char small[8]; fgets(big, sizeof(big), stdin); strcpy(small, big); printf(small %s\n, small); return 0; }如果用户输入超过7个字符strcpy就会往small后面写超出8字节的内容。在栈上这通常会直接覆盖相邻变量的值甚至覆盖返回地址。实际症状可能是函数正常返回时突然崩溃或者某个看似无关的变量变成了奇怪的值。调试这类问题非常痛苦因为出错的位置和表现往往离真正的犯罪行为现场很远。我见过很多线上事故的根因都是这个某处为了省事直接strcpy当时数据短没事后来业务发展一个字段从20字节变成200字节程序就开始随机崩溃。字符串复制、拼接这类操作永远不要用不带长度限制的版本这是底线。4.2 strncpy的补零行为很多人没用对strncpy是个容易让人产生错觉的函数。它的行为分两种情况如果src长度小于n那dst不足n的部分全被填成\0如果src长度大于等于n那dst只复制n个字节不会写\0。也就是说strncpy(dst, src, n)并不保证dst最后以\0结束。很多人以为我限制了长度就不会越界结果因为缺少结尾符后续调用strlen、strcat、printf(%s)时照样一路读下去直到碰到某个随机字节为0为止。比如char buf[8]; const char *src hello, beautiful world; strncpy(buf, src, 8); printf(%s\n, buf); // 可能读到buf之后的内存行为未定义正确定法是先留出结尾符位置再手动补零strncpy(buf, src, sizeof(buf) - 1); buf[sizeof(buf) - 1] \0;所以我的习惯是凡是看到strncpy调用后面必须跟着一行给最后一个元素赋\0否则宁可用snprintf。snprintf在下一小节展开它在很多场景下是比strncpy更省心的替代。4.3 strncat的反直觉之处n指的不是目标容量strncat的第二个参数跟strncpy不太一样它最多从src中追加n个字符然后总会写一个\0。这导致一个非常常见的误用把n直接传成目标缓冲区的总大小。比如char dst[8] hi; strncat(dst, there is a long string, sizeof(dst));dst当前长度是2剩余空间是5个字符加1个\0。但strncat被告知最多追加8个字符于是它追加了8个字符又补了一个\0结果直接把dst后面越界写了一大串。n代表允许追加的字符数不是最终总长度更不是缓冲区容量。正确写法仍然是先算剩余容量char dst[32] hello; const char *src world; strncat(dst, src, sizeof(dst) - strlen(dst) - 1);有人觉得这样麻烦但字符串拼接本质上就是一个容量管理问题多写一行公式能保平安。更好的方案是改用snprintf利用追加位置直接格式化char dst[32] hello; snprintf(dst strlen(dst), sizeof(dst) - strlen(dst), %s, world);这种写法把目标指针指向当前结尾用剩余容量作为长度同样不会越界。4.4 strtok的代价会改原字符串且不可重入strtok通过把分隔符替换成\0来切分字符串。比如#include stdio.h #include string.h int main(void) { char line[] host127.0.0.1;port8080;timeout30; char *token strtok(line, ;); while (token ! NULL) { printf(%s\n, token); token strtok(NULL, ;); } return 0; }输出host127.0.0.1 port8080 timeout30但要注意line已经被改得面目全非第一个分号的位置变成了\0第二个分号位置也变成了\0。如果后续还要用原始字符串必须先复制一份再切分。strtok还有一个更隐蔽的问题**它内部保存了一个静态指针用来记住当前扫描位置。**这意味着它不可重入。如果有两个任务同时用strtok切分不同字符串它们会互相干扰。在单线程里嵌套调用也会出问题外层字符串还没切完内层调用strtok会把内部状态覆盖掉。解决方法是使用可重入版本strtok_rPOSIX环境或线程安全的strtok_s。真要是跨平台且不想碰平台扩展就自己手写一个分隔函数原理也简单记录当前位置和剩余长度。4.5 字符串字面量是只读的别拿它当缓冲这是最容易理解也最容易忽略的一个点。看代码char *p hello; p[0] H; // 危险修改字符串字面量是未定义行为 strcpy(p, other); // 同样危险C标准把字符串字面量定义为char[]但修改它的内容是未定义行为。在大多数Linux系统上字符串字面量存放在只读段程序一跑就会段错误在一些老平台或者编译器优化下可能凑巧不崩但行为一样不可依赖。正确做法是使用可修改的数组char p[] hello; p[0] H; // 没问题或者干脆声明成const char *p提醒自己不能修改。这个坑常见于把字符串字面量直接传给strtok或者strcpy目标场景前者内部要改写字符串后者要写入目标缓冲区两个都会触发问题。4.6 返回值不能当状态标志用很多string.h函数的返回值是指向目标地址的指针比如strcpy返回dststrcat返回dst。这些返回值是为了支持链式调用设计的不是一种成功失败的标志。例如char *ret strcpy(dst, src); // ret dst永远如此即使src很长、dst很小如果有人想看copy失败没得到NULL那是白等。strstr、strchr这类查找函数才需要判断NULL复制和拼接函数只需要在调用前确认容量够不够忙活完后检查返回值是没有意义也来不及了。另外要注意strcmp的返回值只表示大小关系不要当作布尔值。有的代码写if (strcmp(a, b))意思是不相等逻辑上没错但可读性差而且新手容易误读。我始终建议写if (strcmp(a, b) ! 0)意图一目了然。5. 让字符串代码更稳的实操习惯从Sanitizer到边界检查5.1 在开发期引入AddressSanitizer调试字符串越界最痛苦的阶段是问题不可复现。覆盖了栈变量、没崩溃、换个输入才崩这些都是缓冲区问题常见的恶作剧。最有效的办法是开发阶段直接让程序在越界瞬间就停下并报告位置。GCC和Clang都自带AddressSanitizer编译时加两个参数gcc -fsanitizeaddress -g -o demo demo.c运行程序后只要出现越界、使用已释放内存、栈溢出这类问题它会立即打印详细的调用栈和出错位置。我最开始在项目里引入它时第一个被揪出来的就是一处隐藏了很久的strcat越界之前靠肉眼看代码怎么都不觉得有问题ASan跑一遍立刻定位。这对于字符串相关的未定义行为来说基本是最简单的兜底手段。除了ASan还可以考虑Valgrind。ASan需要重新编译、性能开销较小、定位精确Valgrind不需要重新编译适合跑别人的二进制但速度很慢。日常开发我优先选ASan。5.2 计算长度与容量时的统一检查思路凡是往缓冲区里写东西先问自己三个问题源字符串长度是多少用strlen得到。目标缓冲区容量是多少用sizeof得到。目标缓冲区里已有内容占了多少如果要拼接用strlen(dst)得到。核心公式就两个。复制时size_t n strlen(src); if (n sizeof(dst)) { // 处理错误比如realloc或返回错误码 } snprintf(dst, sizeof(dst), %s, src);拼接时size_t remaining sizeof(dst) - strlen(dst) - 1; if (strlen(src) remaining) { // src太长需要处理 } strncat(dst, src, remaining);很多老手干脆不在条件允许的地方碰strcpy、strcat统一用snprintf和strncat。这不叫过度防护而是一种纪律**让缓冲区边界始终处于显式管理之下。**字符串操作的大多数严重事故都不是因为程序员不懂函数而是因为这次应该没事的侥幸心理。5.3 我日常写字符串代码的几个习惯话题说到这儿分享几个我自己坚持的习惯都是从实战里攒出来的。第一**凡是能标const的源字符串参数一律标const。**比如const char *src。编译器能帮我们拦住很多误写而且接口语义更清楚别人一眼就知道这个参数不会被修改。第二能用数组就不要用char *接收字符串。char buf[64]明确告诉你这里有64字节的存储char *p只告诉你这里有一个指针指向哪、有多少空间全靠上下文猜。定义指针指向字符串字面量的时候记得加const。第三**strtok的前面永远放一行注释。**这个函数会修改原字符串且内部有状态如果哪天有人复用这段代码去切别的字段注释能提醒他先复制一份。我就吃过这个亏一个模块里用了strtok另一个模块也用了strtok两段代码离得很远上线后偶发错乱查了好久才意识到是静态状态互相踩踏。第四**结构体清空用 {0}而不是memset优先。**当然如果你明确知道自己在处理原始字节缓冲区比如网络协议包的数据区memset依然是正确选择。规则是能靠语言特性表达意图就别依赖字节模式的巧合。最后**在CI流程里把开了ASan的测试任务作为必过项。**字符串相关的bug往往不是语法错误而是运行时错误静态扫描只能抓一部分ASan能在开发阶段把大部分越界问题挡在门外。我现在的项目里编译命令默认就会加-Wall -Wextra -fsanitizeaddress虽然会增加一点编译和运行时间但比起深夜线上排查事故这点成本便宜得不像话。string.h是一个值得反复钻研的头文件。它的函数看起来都简单但它们共同构成了C语言字符串处理的底层逻辑手动管理长度、手动管理边界、手动管理生命周期。正因如此只要养成写一行字符串操作就想想边界在哪里的习惯大多数因为字符串引发的问题都能在写代码的那一刻被提前消灭。希望这篇文章里那些示例和避坑细节能在你下次写strcpy、strncat、strtok的时候帮你多留一个心眼。
搞C语言开发的人应该都有过这种经历明明只是调了一个字符串复制函数程序却崩溃在某个莫名其妙的角落明明结果打印出来是对的一上压力测试就段错误明明代码跟教科书上一模一样换个平台就行为诡异。这些十有八九都跟string.h有关。这个头文件是C语言字符串处理的基石也是缓冲区溢出、野指针、未定义行为的高发区。这篇文章我把string.h的常用函数掰开揉碎讲一遍每个函数都配上可运行的示例代码再把那些最容易踩的坑一个一个列出来。不管你是刚学C语言的学生还是写了几年嵌入式或服务端的老手这篇文章都能帮你在字符串处理上少走弯路。1. 先看清string.h的全貌字符串不是类型是约定1.1 C语言字符串的真相以\0结尾的字符数组很多从Python、Java转过来的人刚开始写C的时候总会下意识地把字符串当成一种自带长度的数据类型。但C语言里根本没有字符串类型所谓字符串不过是一个字符数组再加上一条所有人都必须遵守的约定在有效字符的末尾放一个值为0的字符也就是\0作为结束标记。string.h里的绝大多数函数都依赖这个约定。strlen从起始地址开始往后数直到遇见\0为止这个\0本身不计入长度。strcpy从源地址逐个复制直到把源字符串的\0也复制过去为止。换句话说**这些函数眼里根本没有缓冲区有多大的概念它们只知道从哪里开始到哪里结束。**这个设计在早期内存宝贵的时代非常高效但代价就是一旦数组越界函数不会像Java那样抛出异常而是直接读写未知内存带来未定义行为。所以在使用string.h之前先要建立第一个认知字符串函数处理的是字符序列 结束标记而不是有长度信息的对象。所有相关操作的本质都是指针对指针的移动和字节的比较。1.2 一张表记住头文件里都有谁string.h的函数不可能一个一个全用到但按功能分类之后整个头文件的轮廓就很清晰了分类函数用途求长度strlen返回字符串长度不计\0复制strcpystrncpy把源字符串复制到目标缓冲区拼接strcatstrncat把源字符串追加到目标字符串末尾比较strcmpstrncmpmemcmp比较字符串或内存块字符查找strchrstrrchrmemchr在字符串/内存中查找指定字符子串查找strstr查找子串第一次出现的位置分隔strtok按分隔符切分字符串集合查找strspnstrcspnstrpbrk按字符集合做扫描内存操作memsetmemcpymemmove对内存块进行设置、复制、移动错误信息strerror根据错误码返回描述字符串后面几节我会把主要类别逐个实战演示。冷门的strspn、strcspn、strpbrk虽然用得少但在某些解析场景里简直是神器也会提一下。1.3 strlen与sizeof最容易被混用的两个概念新手最常犯的一个错误是把strlen和sizeof混为一谈。看下面这段代码#include stdio.h #include string.h int main(void) { char buf[100] hello; printf(sizeof(buf) %zu\n, sizeof(buf)); printf(strlen(buf) %zu\n, strlen(buf)); return 0; }运行结果分别是100和5。sizeof是运算符在编译期就能算出这个数组总共占了多少字节跟里面存了什么无关strlen是函数运行时逐个字符扫描返回\0之前有效字符的个数。这个区别在写strncpy、fgets这类需要指定长度的函数时特别关键。如果混淆了它们很容易出现复制长度不够或缓冲区越界的问题后面第4节会专门展开讲。2. 字符串核心操作拷贝、拼接、比较、查找的完整示例2.1 拷贝操作strcpy的隐患与snprintf的安全替代strcpy是最基础的字符串复制函数用法很简单#include stdio.h #include string.h int main(void) { char dst[32]; const char *src hello world; strcpy(dst, src); printf(dst %s\n, dst); return 0; }strcpy(dst, src)会从src开始把字符连同结尾的\0一起复制到dst一直复制到遇到\0为止。这里隐含着一个关键问题strcpy根本不知道dst有多大。如果src的实际长度超过dst的容量它一样会往后面写直接把栈上其他变量的内存覆盖掉。这可不是应该会报错而是彻头彻尾的未定义行为表现可能是程序崩溃也可能是数据被静默篡改甚至被利用为漏洞攻击的入口。更安全的替代方案有两个。第一个是strncpy加手动补\0char dst[32]; const char *src hello world; strncpy(dst, src, sizeof(dst) - 1); dst[sizeof(dst) - 1] \0;用sizeof(dst) - 1表示最多复制31个字符然后主动把最后一个位置写成\0这样即使源字符串超过长度目标也始终是合法字符串。第二个方案我用得更多是直接用snprintfchar dst[32]; const char *src hello world; snprintf(dst, sizeof(dst), %s, src);snprintf的优点在于它一定会在目标末尾写\0不需要额外补一步。如果源字符串太长它会截断并保证缓冲区不溢出。无论是复制还是格式化输出snprintf在大多数场景下都比strcpy/strcat更省心。2.2 拼接操作先用公式算好剩余容量再用strncatstrcat把源字符串接到目标字符串的末尾并覆盖掉原来的\0。例如char dst[16] hello; strcat(dst, , world); printf(dst %s\n, dst); // hello, world这段代码看上去没问题但dst只有16字节拼接后的字符串是12个字符加\0刚好能放下。如果源字符串稍微长一点点比如项目后期有人把, world换成了, beautiful worldstrcat就会直接写出边界。strcat和strcpy的本质问题相同不检查目标缓冲区剩余空间。标准库提供了strncat它接收一个最多追加的字符数。注意这里的n不是目标缓冲区的总大小而是允许追加的最大字符数。正确的做法是先算出剩余容量再调用char dst[32] hello; const char *src world; size_t cur strlen(dst); size_t remaining sizeof(dst) - cur - 1; strncat(dst, src, remaining);公式sizeof(dst) - strlen(dst) - 1的含义是总容量减去已经使用的字符数再减去一个留给\0的位置。这样写虽然多几行但缓冲区边界是明确控制的。strncat自身有个很好的行为追加完成后一定会写\0所以不用像strncpy那样手动补。2.3 比较操作strcmp返回值的真实含义strcmp用来比较两个字符串按字典序逐个字符比较ASCII值遇到第一对不同就停下#include stdio.h #include string.h int main(void) { const char *a apple; const char *b banana; int ret strcmp(a, b); if (ret 0) { printf(a 小于 b\n); } else if (ret 0) { printf(a 大于 b\n); } else { printf(a 等于 b\n); } return 0; }这里有个高频误区很多人以为strcmp一定会返回-1、0、1但标准只说了返回小于0、等于0、大于0的整数具体数值取决于实现。所以千万不要写if (strcmp(a, b) -1)这种代码正确写法是跟0比较。另一个高频误区是拿直接比较字符串。因为a b比较的是两个指针的地址不是内容。哪怕两个字符串内容完全一样只要它们存放在不同地址结果就是假。这在处理用户输入、配置项时非常容易踩。如果只想比较前n个字符用strncmpconst char *cmd GET /index.html; if (strncmp(cmd, GET, 3) 0) { printf(是GET请求\n); }strncmp比较到n个字符为止适合做前缀匹配。配合sizeof(GET)-1之类的写法还能避免把请求串里的GETX也误判成GET。2.4 查找操作strchr、strrchr、strstr和几个好用的冷门函数strchr在字符串中查找一个字符第一次出现的位置返回指向该位置的指针strrchr则是最后一次出现的位置。经典用途是解析路径#include stdio.h #include string.h int main(void) { const char *path /home/user/file.txt; const char *slash strrchr(path, /); if (slash ! NULL) { printf(文件名: %s\n, slash 1); // file.txt } return 0; }strstr查找子串第一次出现的位置返回指向子串起点的指针找不到则返回NULL。注意在使用返回的指针对它做偏移或解引用之前一定要先判断是否为NULL。strchr和strstr的返回都是char *这在旧代码里有个坑如果传入的是const char *返回值依然可以修改字符串内容类型上会产生警告甚至未定义行为。现代写法建议用const char *去接收返回值。冷门函数里我非常喜欢strcspn它返回字符串开头连续不属于某个字符集合的长度。配合换行符清理非常经典char line[128]; fgets(line, sizeof(line), stdin); line[strcspn(line, \n)] \0;这一行会把fgets读进来的换行符替换成\0不用再手动找\n的位置。strspn则反过来返回开头连续属于某个字符集合的长度比如可以轻松找出字符串开头的连续数字有多少个。strpbrk用于查找第一个出现在指定字符集合中的字符在解析协议头时一次能匹配多个分隔符。3. 内存操作三件套memcpy、memmove、memset的使用边界3.1 memcpy快是快但看不到重叠边界memcpy按字节数复制内存不关心内容是什么适合复制结构体、整数数组、字节流。示例#include stdio.h #include string.h int main(void) { int src[5] {1, 2, 3, 4, 5}; int dst[5]; memcpy(dst, src, sizeof(src)); for (int i 0; i 5; i) { printf(%d , dst[i]); } printf(\n); return 0; }第三个参数是字节数用sizeof(src)最保险。但memcpy有一个非常硬性的要求**源和目的的内存区域不能重叠。**一旦重叠行为是未定义的。原因是memcpy可能按从前往后的顺序复制如果目标和源有交叠就可能在复制过程中把还没读到的源数据覆盖掉。比如在同一个数组内做移位复制或者把结构体的一部分复制到另一部分都属于危险操作。3.2 memmove不想动脑时的安全选择memmove做的事情和memcpy一样都是复制n个字节但它明确允许源和目的重叠。实现上会先判断方向必要时从后往前复制保证即使重叠也不会把源数据搞坏。所以当你不能确定两个缓冲区是否重叠时直接选memmove#include stdio.h #include string.h int main(void) { char s[] abcdef; memmove(s 2, s, 4); printf(s %s\n, s); // ababcd return 0; }这段代码把abcd复制到s2的位置结果abcdef变成了ababcd。如果用memcpy做同样的操作结果不可预期在多数实现上会得到ababab之类的错乱结果。另一个常见场景是在数组中间插入或删除一段元素统一用memmove就省掉一长串方向判断。有人担心memmove性能差其实在现代编译器里memmove和memcpy对于不重叠的简单情况几乎没有差别库实现会走同样的快速路径。只有在重叠时才需要额外的判断分支这个成本通常可以忽略。我的原则是宁可损失一点性能也不想为重叠问题背锅。3.3 memset清零、初始化和一个容易被忽略的问题memset用来把一块内存的每个字节都设置为同一个值最常见的用法是清零和初始化char password_buf[128]; memset(password_buf, 0, sizeof(password_buf)); struct config cfg; memset(cfg, 0, sizeof(cfg));第二个参数是字节值第三个参数是字节数。很多人以为memset(buf, 1, n)能把整数数组的每个元素初始化成1实际上它把每个字节都设成0x01对于int数组来说每个元素会变成16843009。想给数组元素赋整数值应该用循环或初始化列表。还有一个容易被忽略的问题memset(cfg, 0, sizeof(cfg))把结构体清零依赖的是全零位模式表示空指针、浮点数0这种平台约定。在几乎所有的现代平台上没问题但C标准并没有严格保证。更地道的做法是直接定义时初始化struct config cfg {0};这样所有成员都会被初始化为0而且语义更清晰。对于结构体中的指针、浮点数大括号初始化是更可靠的方式。struct config { char name[32]; int port; double ratio; }; struct config cfg {0};跟memset效果基本一致但更安全、更直观。我一般在临时把缓冲区清零时用memset在定义结构体并初始化为0时用大括号初始化分工明确。4. 避坑手册string.h里那些反复让人翻车的隐藏细节4.1 strcpy缓冲区溢出一场随时可能发生的崩溃先看一个实验。下面这段代码用固定缓冲区接收用户输入然后复制到另一个更小的缓冲区里#include stdio.h #include string.h int main(void) { char big[64]; char small[8]; fgets(big, sizeof(big), stdin); strcpy(small, big); printf(small %s\n, small); return 0; }如果用户输入超过7个字符strcpy就会往small后面写超出8字节的内容。在栈上这通常会直接覆盖相邻变量的值甚至覆盖返回地址。实际症状可能是函数正常返回时突然崩溃或者某个看似无关的变量变成了奇怪的值。调试这类问题非常痛苦因为出错的位置和表现往往离真正的犯罪行为现场很远。我见过很多线上事故的根因都是这个某处为了省事直接strcpy当时数据短没事后来业务发展一个字段从20字节变成200字节程序就开始随机崩溃。字符串复制、拼接这类操作永远不要用不带长度限制的版本这是底线。4.2 strncpy的补零行为很多人没用对strncpy是个容易让人产生错觉的函数。它的行为分两种情况如果src长度小于n那dst不足n的部分全被填成\0如果src长度大于等于n那dst只复制n个字节不会写\0。也就是说strncpy(dst, src, n)并不保证dst最后以\0结束。很多人以为我限制了长度就不会越界结果因为缺少结尾符后续调用strlen、strcat、printf(%s)时照样一路读下去直到碰到某个随机字节为0为止。比如char buf[8]; const char *src hello, beautiful world; strncpy(buf, src, 8); printf(%s\n, buf); // 可能读到buf之后的内存行为未定义正确定法是先留出结尾符位置再手动补零strncpy(buf, src, sizeof(buf) - 1); buf[sizeof(buf) - 1] \0;所以我的习惯是凡是看到strncpy调用后面必须跟着一行给最后一个元素赋\0否则宁可用snprintf。snprintf在下一小节展开它在很多场景下是比strncpy更省心的替代。4.3 strncat的反直觉之处n指的不是目标容量strncat的第二个参数跟strncpy不太一样它最多从src中追加n个字符然后总会写一个\0。这导致一个非常常见的误用把n直接传成目标缓冲区的总大小。比如char dst[8] hi; strncat(dst, there is a long string, sizeof(dst));dst当前长度是2剩余空间是5个字符加1个\0。但strncat被告知最多追加8个字符于是它追加了8个字符又补了一个\0结果直接把dst后面越界写了一大串。n代表允许追加的字符数不是最终总长度更不是缓冲区容量。正确写法仍然是先算剩余容量char dst[32] hello; const char *src world; strncat(dst, src, sizeof(dst) - strlen(dst) - 1);有人觉得这样麻烦但字符串拼接本质上就是一个容量管理问题多写一行公式能保平安。更好的方案是改用snprintf利用追加位置直接格式化char dst[32] hello; snprintf(dst strlen(dst), sizeof(dst) - strlen(dst), %s, world);这种写法把目标指针指向当前结尾用剩余容量作为长度同样不会越界。4.4 strtok的代价会改原字符串且不可重入strtok通过把分隔符替换成\0来切分字符串。比如#include stdio.h #include string.h int main(void) { char line[] host127.0.0.1;port8080;timeout30; char *token strtok(line, ;); while (token ! NULL) { printf(%s\n, token); token strtok(NULL, ;); } return 0; }输出host127.0.0.1 port8080 timeout30但要注意line已经被改得面目全非第一个分号的位置变成了\0第二个分号位置也变成了\0。如果后续还要用原始字符串必须先复制一份再切分。strtok还有一个更隐蔽的问题**它内部保存了一个静态指针用来记住当前扫描位置。**这意味着它不可重入。如果有两个任务同时用strtok切分不同字符串它们会互相干扰。在单线程里嵌套调用也会出问题外层字符串还没切完内层调用strtok会把内部状态覆盖掉。解决方法是使用可重入版本strtok_rPOSIX环境或线程安全的strtok_s。真要是跨平台且不想碰平台扩展就自己手写一个分隔函数原理也简单记录当前位置和剩余长度。4.5 字符串字面量是只读的别拿它当缓冲这是最容易理解也最容易忽略的一个点。看代码char *p hello; p[0] H; // 危险修改字符串字面量是未定义行为 strcpy(p, other); // 同样危险C标准把字符串字面量定义为char[]但修改它的内容是未定义行为。在大多数Linux系统上字符串字面量存放在只读段程序一跑就会段错误在一些老平台或者编译器优化下可能凑巧不崩但行为一样不可依赖。正确做法是使用可修改的数组char p[] hello; p[0] H; // 没问题或者干脆声明成const char *p提醒自己不能修改。这个坑常见于把字符串字面量直接传给strtok或者strcpy目标场景前者内部要改写字符串后者要写入目标缓冲区两个都会触发问题。4.6 返回值不能当状态标志用很多string.h函数的返回值是指向目标地址的指针比如strcpy返回dststrcat返回dst。这些返回值是为了支持链式调用设计的不是一种成功失败的标志。例如char *ret strcpy(dst, src); // ret dst永远如此即使src很长、dst很小如果有人想看copy失败没得到NULL那是白等。strstr、strchr这类查找函数才需要判断NULL复制和拼接函数只需要在调用前确认容量够不够忙活完后检查返回值是没有意义也来不及了。另外要注意strcmp的返回值只表示大小关系不要当作布尔值。有的代码写if (strcmp(a, b))意思是不相等逻辑上没错但可读性差而且新手容易误读。我始终建议写if (strcmp(a, b) ! 0)意图一目了然。5. 让字符串代码更稳的实操习惯从Sanitizer到边界检查5.1 在开发期引入AddressSanitizer调试字符串越界最痛苦的阶段是问题不可复现。覆盖了栈变量、没崩溃、换个输入才崩这些都是缓冲区问题常见的恶作剧。最有效的办法是开发阶段直接让程序在越界瞬间就停下并报告位置。GCC和Clang都自带AddressSanitizer编译时加两个参数gcc -fsanitizeaddress -g -o demo demo.c运行程序后只要出现越界、使用已释放内存、栈溢出这类问题它会立即打印详细的调用栈和出错位置。我最开始在项目里引入它时第一个被揪出来的就是一处隐藏了很久的strcat越界之前靠肉眼看代码怎么都不觉得有问题ASan跑一遍立刻定位。这对于字符串相关的未定义行为来说基本是最简单的兜底手段。除了ASan还可以考虑Valgrind。ASan需要重新编译、性能开销较小、定位精确Valgrind不需要重新编译适合跑别人的二进制但速度很慢。日常开发我优先选ASan。5.2 计算长度与容量时的统一检查思路凡是往缓冲区里写东西先问自己三个问题源字符串长度是多少用strlen得到。目标缓冲区容量是多少用sizeof得到。目标缓冲区里已有内容占了多少如果要拼接用strlen(dst)得到。核心公式就两个。复制时size_t n strlen(src); if (n sizeof(dst)) { // 处理错误比如realloc或返回错误码 } snprintf(dst, sizeof(dst), %s, src);拼接时size_t remaining sizeof(dst) - strlen(dst) - 1; if (strlen(src) remaining) { // src太长需要处理 } strncat(dst, src, remaining);很多老手干脆不在条件允许的地方碰strcpy、strcat统一用snprintf和strncat。这不叫过度防护而是一种纪律**让缓冲区边界始终处于显式管理之下。**字符串操作的大多数严重事故都不是因为程序员不懂函数而是因为这次应该没事的侥幸心理。5.3 我日常写字符串代码的几个习惯话题说到这儿分享几个我自己坚持的习惯都是从实战里攒出来的。第一**凡是能标const的源字符串参数一律标const。**比如const char *src。编译器能帮我们拦住很多误写而且接口语义更清楚别人一眼就知道这个参数不会被修改。第二能用数组就不要用char *接收字符串。char buf[64]明确告诉你这里有64字节的存储char *p只告诉你这里有一个指针指向哪、有多少空间全靠上下文猜。定义指针指向字符串字面量的时候记得加const。第三**strtok的前面永远放一行注释。**这个函数会修改原字符串且内部有状态如果哪天有人复用这段代码去切别的字段注释能提醒他先复制一份。我就吃过这个亏一个模块里用了strtok另一个模块也用了strtok两段代码离得很远上线后偶发错乱查了好久才意识到是静态状态互相踩踏。第四**结构体清空用 {0}而不是memset优先。**当然如果你明确知道自己在处理原始字节缓冲区比如网络协议包的数据区memset依然是正确选择。规则是能靠语言特性表达意图就别依赖字节模式的巧合。最后**在CI流程里把开了ASan的测试任务作为必过项。**字符串相关的bug往往不是语法错误而是运行时错误静态扫描只能抓一部分ASan能在开发阶段把大部分越界问题挡在门外。我现在的项目里编译命令默认就会加-Wall -Wextra -fsanitizeaddress虽然会增加一点编译和运行时间但比起深夜线上排查事故这点成本便宜得不像话。string.h是一个值得反复钻研的头文件。它的函数看起来都简单但它们共同构成了C语言字符串处理的底层逻辑手动管理长度、手动管理边界、手动管理生命周期。正因如此只要养成写一行字符串操作就想想边界在哪里的习惯大多数因为字符串引发的问题都能在写代码的那一刻被提前消灭。希望这篇文章里那些示例和避坑细节能在你下次写strcpy、strncat、strtok的时候帮你多留一个心眼。
