没有全球运营商的裸机 new

Question

考虑安全软件，其中通常不允许动态分配并且不允许异常。仅当类明确定义运算符new 和delete 时才允许动态分配。对其他类使用运算符new 会导致编译失败。

在所述情况下导致编译失败的最简单方法是删除全局 new 运算符：

void* operator new(std::size_t) = delete;

一方面，这会对标准库产生副作用。例如，包含<array> 会通过<stdexcept> 将包含传播到<new_allocator>。 <new_allocator> 使用 ::new 运算符，即使您不想使用异常和内存分配，这也会导致构建失败。根据 Scoot Meyers 的说法，<array> 应该是裸机友好的。

另一方面，这会导致编译器内置运算符出错

src/main.cpp:91:31: error: deleted definition of 'void* operator new(std::size_t)'
 void* operator new(std::size_t) = delete;                               ^
<built-in>: note: previous declaration of 'void* operator new(std::size_t)'

有没有办法禁止::new使用<array>？

有没有办法在全球范围内完全禁止::new？

Answer 1

如果您使用 GCC 和 GNU LD，那么我认为您可以将 --wrap=malloc 添加到您的链接器标志中。由于全局::new 在内部使用malloc()，因此应用程序中对malloc() 的所有调用都将替换为__wrap_malloc()。如果此函数未定义，则链接将失败。

另一个可能更简单的选择是将ASSERT(DEFINED(malloc) == 0, "Dynamic allocation used!"); 添加到您的链接描述文件中。这将断言 malloc() 未定义。

这些选项都不能防止您重新定义全局 ::new 以使用其他形式的全局分配。您可以对链接描述文件中的全局符号 ::new 执行相同的操作，但它的名称被破坏（此处为 _Znwj），所以这会有点奇怪......

Answer 2

不管你使用什么编程语言：

在任何健全的裸机系统上，您只需从链接描述文件中完全删除 .heap 段。任何依赖动态分配的代码都将无法链接。而且您不必为无论如何都不会使用的段分配 RAM。

Answer 3

我要强调两点：

1. 如果异常没有进入您的代码，则在其定义中包含异常相关的标头不应打扰您。
2. 当你禁用异常时，你不能在你的代码中使用它们（如果你这样做编译将会失败）。但是，它不会从标准库中删除异常的使用。标准库可能包含模板类的预编译版本，例如std::string（即std::basic_string<char, ...>）或std::streambuf（即std::basic_streambuf<char, ...>），当您在代码中使用它时，编译器不会尝试要实例化模板，它只是重用预编译的版本，但有例外。

为了更好地控制您的代码，我强烈建议使用带有 G++ 编译器的 -nostdlib 编译选项完全排除标准库。它不会阻止您使用各种模板类，例如来自 STL 的std::array，它只会为您排除整个 C++ 库和运行时。

我也推荐阅读Practical Guide to Bare Metal C++。它可能会更深入地了解 C++ 裸机内部结构。