如何阅读 C 代码：变量、函数与控制流程

阅读 C 代码，不只是把关键字逐个翻译成中文。真正需要看清的是：数据以什么类型保存、在哪里有效、函数如何接收和返回数据，以及程序在不同条件下会走哪条路径。掌握这几件事，就能逐步读懂一个函数，进而追踪模块之间的调用关系。

本文适合刚接触 C、需要维护旧代码，或希望用更有条理的方法检查程序行为的读者。示例以标准 C 为基础，可用常见编译器编译；命令示例采用 C11 模式。阅读时尤其要留意类型、数组长度、指针指向的对象，以及输入数据是否经过边界检查。

一、先建立阅读顺序

拿到一个 C 源文件，不妨先按以下顺序浏览：

1. 看头文件和宏。头文件通常声明程序依赖的库函数和类型；宏可能影响条件编译、常量或表达式。
2. 找入口和函数定义。普通可执行程序通常从 main 开始，但实际行为还取决于它调用的函数。
3. 读变量声明。确认类型、初始值、作用域和存储位置，特别检查指针、数组和整数类型。
4. 沿控制流程追踪。依次判断条件分支、循环退出条件、提前返回，以及错误路径。
5. 核对接口边界。检查函数参数的含义、允许范围、是否可能为空，以及调用方是否遵守约定。

不要只盯着函数名推断意图。名字叫 read_data 的函数不一定校验了输入；名字叫 copy 的函数也不一定知道目标缓冲区有多大。应以函数体、类型、调用处和文档共同判断。

二、变量：声明就是一条重要线索

C 是静态类型语言。变量声明决定了编译器如何解释其存储内容和运算方式。例如，整数、浮点数、字符和指针虽然都由机器上的位表示，但不能据此把它们当成同一种数据。

#include <stdio.h>

int main(void)
{
    int count = 3;
    double price = 2.5;
    char grade = 'A';

    printf("count = %d\n", count);
    printf("price = %.1f\n", price);
    printf("grade = %c\n", grade);

    return 0;
}

保存为 variables.c 后可用下面的命令编译运行：

cc -std=c11 -Wall -Wextra -Wpedantic variables.c -o variables
./variables

格式化输出中的格式说明符必须与传入参数的类型匹配：%d 用于 int，%f 用于传给可变参数函数的 double，%c 用于字符。格式与实参不匹配，可能导致未定义行为；编译器能发现部分问题，但不能保证发现所有问题。使用严格警告选项，有助于尽早暴露错误。

初始化与未定义的值

局部自动变量如果没有初始化，其值是不确定的。不要在赋值前读取它：

int total;
/* 此处读取 total 是错误的做法 */
total = 0;

未初始化的局部变量并不保证“刚好为零”。全局变量和具有静态存储期的变量会在程序启动时零初始化，但不应把这个规则误套到普通局部变量上。明确写出初始值，通常更利于理解和维护。

类型转换与整数边界

不同类型参与同一表达式时，C 会按转换规则处理它们。隐式转换有时会损失信息，例如把浮点数转成整数会舍弃小数部分；把较大范围的整数转换成较小类型，也可能无法保留原值。阅读表达式时，遇到混合类型应确认转换后的类型和取值范围。

有符号整数溢出不是可靠的“回绕”机制，而是未定义行为。无符号整数运算则按模数回绕，但这也未必符合业务预期。涉及计数、长度和下标时，不能只看变量“通常不会很大”，应核对输入上限及计算过程是否可能超过类型范围。

作用域决定变量在哪里可见

在函数内部声明的局部变量通常只在其所在代码块内可见；函数参数的作用域也限于函数体。花括号会形成新的块作用域，因此内层块可以声明同名变量，但这会遮蔽外层变量，增加阅读难度。全局变量则可被多个函数访问，容易形成隐式依赖，维护时应检查所有读写位置。

关键字 const 表示通过该名称不应修改对象，例如 const int limit = 10;。它不是自动的线程安全保证，也不意味着程序中绝对不存在其他修改途径；阅读时要结合指针类型和对象实际所有权判断。

三、数组与指针：看清对象和长度

数组是一段连续的同类型元素。数组下标从零开始，长度为 n 的数组合法下标是 0 到 n - 1。C 不会在普通数组访问时自动检查下标是否越界；越界访问会导致未定义行为，可能破坏数据或使程序崩溃。

指针保存的是地址。声明 int *p 表示 p 指向一个 int 对象（或为空指针）；*p 是通过指针访问对象。解引用之前，必须确认指针非空，并且仍指向有效、可访问且类型适当的对象。指针不自带长度，也不说明它指向的内存由谁负责释放。

#include <stdio.h>

int main(void)
{
    int values[] = {10, 20, 30};
    size_t count = sizeof values / sizeof values[0];

    for (size_t i = 0; i < count; ++i) {
        printf("values[%zu] = %d\n", i, values[i]);
    }

    return 0;
}

这里的 sizeof values / sizeof values[0] 在 values 仍是数组的作用域内，可以得到元素个数。但数组作为函数参数时会调整为指针类型，函数内部对参数使用 sizeof 得到的是指针大小，不是原数组长度。因此，常见做法是把指针和元素数量作为两个参数传入。

字符串在 C 中通常以字符数组表示，并以空字符 '\0' 结尾。数组容量和字符串长度不是一回事：容量还要容纳结尾空字符。一个字符数组如果没有有效的结尾空字符，就不能安全地传给要求 C 字符串的函数，例如 printf("%s", ...)。

四、函数：沿着接口和调用关系读

函数声明（原型）描述函数名称、参数类型和返回类型；函数定义包含具体行为。先看函数原型，可以快速了解模块之间传递什么数据。再读函数体，确认它是否修改通过指针传入的对象、是否可能提前返回，以及错误怎样报告。

#include <stdio.h>

int add(int left, int right);
void add_to(int *value, int amount);

int add(int left, int right)
{
    return left + right;
}

void add_to(int *value, int amount)
{
    if (value != NULL) {
        *value += amount;
    }
}

int main(void)
{
    int total = add(4, 5);
    add_to(&total, 2);

    printf("total = %d\n", total);
    return 0;
}

编译时，编译器会检查调用实参与声明是否兼容。C 函数参数是按值传递：函数得到的是实参值的副本。上例中，add 修改不了调用方的两个变量；add_to 收到的虽然也是一个副本，但副本保存了对象地址，因此可以通过它修改调用方的对象。这并非“按引用传递”，而是把指针值按值传入。

add_to 对空指针做了检查，但这不能解决所有指针安全问题。非空指针仍可能悬空、越界或指向只读对象。函数需要哪些前置条件，应从调用处和接口约定中核实。若函数要求指针有效且可写，仅检查是否为 NULL 并不充分。

return 用于结束函数并返回结果。返回类型为 void 的函数不返回值；其他非 void 函数应在所有可能到达的路径上返回符合类型的值。不要返回局部自动变量的地址，因为函数返回后，该局部对象的生命周期已经结束。

函数名后面的参数列表还决定了调用方式。声明为 int f(void) 的函数明确不接收参数；不要把它与旧式的空参数列表声明混为一谈。阅读遗留代码时，若发现缺少原型或声明风格较旧，应查看项目使用的 C 标准和编译选项，而不是直接假设调用安全。

五、控制流程：判断程序何时继续、何时停止

条件分支

if 根据表达式是否为零选择分支；零代表假，非零代表真。C 没有独立的布尔关键字类型时，常用 stdbool.h 中的 bool、true 和 false 表达布尔意图。阅读条件时，应弄清比较对象和边界，例如 x < limit 与 x <= limit 的差别。

#include <stdio.h>

int main(void)
{
    int score = 82;

    if (score >= 90) {
        puts("优秀");
    } else if (score >= 60) {
        puts("通过");
    } else {
        puts("未通过");
    }

    return 0;
}

逻辑运算符 && 和 || 具有短路求值特性：左侧已经足以决定结果时，右侧不会执行。因此 p != NULL && *p > 0 可以先检查空指针，再解引用；但前提是左侧检查确实覆盖了右侧所需条件。

不要把赋值运算符 = 和相等比较运算符 == 混淆。前者修改变量，后者比较两个值。某些赋值表达式本身也能作为条件使用，因此这类错误不一定总能被语法拒绝。给关键比较加清晰的括号、启用编译器警告并审阅条件表达式，有助于发现问题。

循环与退出条件

for 常用于次数或索引明确的循环；while 常用于条件持续成立时循环；do ... while 至少执行一次。无论使用哪种形式，都要检查循环变量何时更新、退出条件是否能达到，以及循环中是否存在提前退出路径。

#include <stdio.h>

int main(void)
{
    int values[] = {3, -1, 8, 0, 5};
    size_t count = sizeof values / sizeof values[0];

    for (size_t i = 0; i < count; ++i) {
        if (values[i] < 0) {
            continue;
        }
        if (values[i] == 0) {
            break;
        }
        printf("%d\n", values[i]);
    }

    return 0;
}

continue 结束本轮循环并进入下一轮；在 for 中，执行完 continue 后仍会进行迭代表达式，再判断循环条件。break 则退出当前所在的循环或 switch。读到它们时，应把它们当作控制流跳转，而不是普通的局部语句。

循环下标也需要与数组长度匹配。上例使用 size_t 表示数组长度和下标，这是适合表示对象大小的无符号类型。若用有符号类型与 size_t 比较，可能发生类型转换，触发警告或产生意外结果。选择类型时既要考虑取值范围，也要留意混合运算规则。

switch 与分支遗漏

switch 适合根据整数类型或枚举值选择分支。每个 case 默认会继续执行后面的代码，直到遇到 break、return 或其他控制转移。漏掉 break 可能造成贯穿执行。若贯穿是有意为之，应以注释明确说明；也要检查是否有 default 分支，以及新增枚举值时是否会被处理。

六、读取外部输入：长度、格式和值都要检查

外部输入可能为空、过长、不符合预期格式，或超出目标类型范围。安全读取不是只换用某一个“安全函数”，而是明确缓冲区容量、检测读取结果、验证格式并检查数值范围。

下面的程序读取一行十进制整数，拒绝空输入、超长输入、非数字尾部内容，以及超出 int 范围的值。它使用 fgets 限制单次写入的字符数，再用 strtol 转换并检查错误。

#include <ctype.h>
#include <errno.h>
#include <limits.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(void)
{
    char line[128];

    if (fgets(line, sizeof line, stdin) == NULL) {
        fputs("读取失败或没有输入\n", stderr);
        return 1;
    }

    char *newline = strchr(line, '\n');
    if (newline != NULL) {
        *newline = '\0';
    } else if (!feof(stdin)) {
        int ch;
        while ((ch = getchar()) != '\n' && ch != EOF) {
            /* 丢弃本行剩余内容 */
        }
        fputs("输入行过长\n", stderr);
        return 1;
    }

    errno = 0;
    char *end = NULL;
    long value = strtol(line, &end, 10);

    if (end == line || errno == ERANGE) {
        fputs("不是有效的整数\n", stderr);
        return 1;
    }

    while (*end != '\0' && isspace((unsigned char)*end)) {
        ++end;
    }

    if (*end != '\0' || value < INT_MIN || value > INT_MAX) {
        fputs("整数格式错误或超出 int 范围\n", stderr);
        return 1;
    }

    printf("读取到：%d\n", (int)value);
    return 0;
}

这段代码对输入长度有限制：缓冲区最多容纳 127 个输入字节和一个结尾空字符；超出容量且尚未到达输入末尾时，会拒绝该行。它接受 strtol 支持的前导空白和正负号，并允许整数后有空白；其他尾随字符会被拒绝。若程序需要不同的语法，例如禁止正号或禁止前导空白，应另行检查并明确规定。

需要区分几种边界：fgets 限制写入缓冲区的字符数，但不验证内容是否符合业务规则；strtol 能报告转换范围错误，但调用方仍要检查是否转换了任何字符、尾部是否只含允许的内容，以及结果是否能放进目标类型。使用 scanf 也不自动解决这些问题，尤其是直接读取字符串时必须限制宽度，还要检查返回值。

七、常见误读与排查办法

• 把数组参数当成数组本身。函数参数中的数组声明会调整为指针，函数通常无法从该参数推知数组长度；长度应通过额外参数传递。
• 认为非空指针一定安全。非空只说明地址不是空值，不证明对象仍然有效、大小足够或允许写入。
• 以为 const 会自动保护内存。它约束特定访问路径，不负责验证输入、管理对象生命周期或保证线程安全。
• 忽略有符号与无符号混算。负数与无符号数比较时，转换可能使结果与直觉不同；涉及长度和差值时尤其要小心。
• 漏看循环中的提前退出。break、continue 和 return 会改变原先按顺序想象的执行路径。
• 用格式说明符猜类型。格式字符串与实际参数不匹配可能产生未定义行为，应结合变量声明和函数原型确认。
• 把“运行时没出错”当成正确证明。越界访问、未初始化读取等错误可能暂时不显现；测试只能覆盖部分输入和路径。

遇到不确定的控制流，可以逐句记录关键变量的值，尤其关注条件成立与不成立两种情况；遇到不确定的指针，可以追踪它从哪里取得、指向什么对象、对象何时失效，以及访问范围有多大。对复杂表达式，拆成多个简单步骤通常比凭直觉判断更可靠。

八、参数边界与安全用途：理解工具能做什么

编译器警告、静态分析器、动态检测器和测试都能帮助发现问题，但它们各有边界。-Wall、-Wextra 等编译选项是警告集合，不代表程序已通过完整安全审查；不同编译器、版本和配置报告的问题也可能不同。AddressSanitizer 等运行时检测工具通常只能发现已执行路径上的部分内存错误，不能证明所有路径都安全。

数组边界检查、整数溢出检查、输入校验和权限控制应由程序针对实际需求设计。C 的指针和内存操作提供了较强的控制能力，但不会自动替程序检查数组长度或对象生命周期。对于文件、网络、用户输入等不可信数据，应在进入核心逻辑前校验长度、格式、范围和失败情况，并在后续运算中继续防止溢出与越界。

如果程序处理敏感数据或处于高风险环境，仅依靠阅读和示例代码不足以构成安全保证。还应结合项目规范、威胁模型、代码审查、自动化测试及适用的安全分析流程。工具的检测结果需要结合上下文解释；没有告警不等于没有缺陷。

九、把阅读方法用到真实项目

从一个具体函数开始，先写下它的输入、输出和可能的副作用；然后标出局部变量、指针所指对象及其有效范围；接着沿条件和循环列出主要路径；最后检查每个外部输入如何到达数组下标、内存分配大小或库函数参数。若函数调用链较长，沿着参数传递逐层追踪，不要只看单个函数的局部代码。

阅读 C 代码的核心，是把“变量是什么、函数如何协作、程序如何分支”连成一条可验证的执行过程。看到声明先确认类型和生命周期，看到函数先确认接口与副作用，看到控制语句先追踪条件和退出路径；再用明确的长度、范围和错误处理检查边界。这样既能更快理解代码，也更容易发现真实的问题。