编写安全代码——无符号数减法溢出问题

作者：[e-mail]

博客：blog.focus-linux.net       linuxfocus.blog.chinaunix.net

今天再次遇到一个C语言的细节问题，并且发现自己以前的理解不正确，然后总结了一下，写出本文。请看下面的代码：

#include <stdlib.h>
#include <stdio.h>


int main()
{
    unsigned int a = 1;
    unsigned int b = -1;

    printf("a is 0x%X\n", a);
    printf("b is 0x%X\n", b);

    printf("a-b is 0x%X\n", a-b);

    return 0;
}

它的结果为：

a is 0x1
b is 0xFFFFFFFF
a-b is 0x2

其中最后的a-b的结果为0x2，不是我之前期望的。因为a为1，而b为无符号数中的最大数，它的结果怎么会是2呢？

如果有朋友认为结果是2的原因，是因为1-(-1)=1+1=2。那么我只能说恭喜你，虽然你的推导与结果相同，但是想法是错误的。因为这里是无符号数，不是有符号数，所以这里没有-1。

经过和一些朋友的讨论，我又写了一些测试代码：

#include <stdlib.h>
#include <stdio.h>


int main()
{
    unsigned short a = 1;
    unsigned short b = -1;

    printf("a is 0x%X\n", a);
    printf("b is 0x%X\n", b);

    printf("a-b is 0x%X\n", a-b);

    return 0;
}

这里只是将int改为short型，结果则是：

a is 0x1
b is 0xFFFF
a-b is 0xFFFF0002

先分析一下这个结果，看看是否对于之前的问题有所帮助。a-b的时候，按照c标准会将其变为int型，即(int)a-(int)b=1-65535=-65534=0xFFFF0002。而%x打印的是无符号整数，结果自然是0xFFFF0002。

第二份代码与第一份代码，不同之处，只是a和b的类型不同。在第一份代码中，a-b的时候，因为其类型为无符号整数，所以这里不会发生整数提升，仍然是无符号数的减法。而1-0xFFFFFFFF应该等于-0xFFFFFFFE。而这个数值实际上可以理解为超出了无符号数unsigned int的表示范围——注意，这里表达的并不准确，因为unsigned int的范围是0~0xFFFFFFFF。也就是说unsigned int是无法表示-0xFFFFFFFE的数值的。

为了证明这一点，我们可以扩大一下a和b的类型：

#include <stdlib.h>
#include <stdio.h>


int main()
{
    unsigned int a = 1;
    unsigned int b = -1;

    printf("a is 0x%X\n", a);
    printf("b is 0x%X\n", b);

    printf("a-b is 0x%llX\n", (unsigned long long)a-(unsigned long long)b);

    return 0;
}

其结果为：

a is 0x1
b is 0xFFFFFFFF
a-b is 0xFFFFFFFF00000002

这与我们前面的分析吻合。

从上面的分析看出，这个简单的无符号整数的减法操作，引出了这么多的东西。如果说前面的分析或者推导有些难以理解的话，还有一种理解方式，但是我不知道正确与否，合适与否。这个a-b的值一定要满足a-(a-b)=b。当a=1，而b等于0xFFFFFFFF时，所以这个(a-b)一定为2。——你不要觉得这样的等式一定成立，在计算机的编程中，这种算术运算的反运算，是有可能不成立的。

今天有看了看二进制补码以及减法的实现——依然是通过加法实现，感觉对这个问题似乎可以理解的更深。但是目前还是有一层窗户纸，没有捅破，就差一点了。