attributes(7) – Diverse informationsmanual

NAMN

attributes – POSIX säkerhetskoncept

BESKRIVNING

Observera: Texten i denna man-sida är baserad på material hämtat från avsnittet "POSIX Safety Concepts" i GNU C Library-manualen. Ytterligare detaljer om de ämnen som beskrivs här kan hittas i den manualen.

Olika funktionsmanualsidor inkluderar en sektion ATTRIBUTES som beskriver säkerheten vid anrop av funktionen i olika sammanhang. Denna sektion annoterar funktioner med följande säkerhetsmarkeringar:

MT-Safe

MT-Safe eller trådsäkra funktioner är säkra att anropa i närvaro av andra trådar. MT i MT-Safe står för Multi Thread.

Att vara MT-Safe innebär dock inte att en funktion är atomär, eller att den använder någon av de minnessynkroniseringsmekanismer som POSIX exponerar för användare. Det är till och med möjligt att anrop av MT-Safe-funktioner i följd inte ger en MT-Safe kombination. Till exempel garanterar inte att en tråd anropar två MT-Safe-funktioner direkt efter varandra ett beteende som motsvarar atomär exekvering av kombinationen av båda funktionerna, eftersom samtidiga anrop i andra trådar kan störa på ett destruktivt sätt.

Helprogramoptimeringar som kan inlinera funktioner över biblioteksgränssnitt kan exponera osäker omordning, och därför rekommenderas inte inlining över GNU C Library-gränssnittet. Den dokumenterade MT-Safety-statusen garanteras inte under helprogramoptimering. Dock är funktioner definierade i användar-synliga headers designade att vara säkra för inlining.

MT-Unsafe

MT-Unsafe-funktioner är inte säkra att anropa i multitrådade program.

Andra nyckelord som förekommer i säkerhetsanmärkningar definieras i följande sektioner.

Villkorligt säkra funktioner

För vissa funktioner som gör funktioner osäkra att anropa i vissa sammanhang finns det kända sätt att undvika säkerhetsproblemet annat än att helt avstå från att anropa funktionen. De följande nyckelorden refererar till sådana funktioner, och var och en av deras definitioner indikerar hur hela programmet behöver begränsas för att eliminera säkerhetsproblemet som indikeras av nyckelordet. Endast när alla skäl som gör en funktion osäker är observerade och åtgärdade, genom att tillämpa de dokumenterade begränsningarna, blir funktionen säker att anropa i ett sammanhang.

init

Funktioner märkta med init som en MT-Unsafe-egenskap utför osäker initialisering när de anropas första gången.

Att anropa en sådan funktion minst en gång i enkeltrådigt läge tar bort denna specifika orsak för att funktionen ska betraktas som MT-Unsafe. Om ingen annan orsak kvarstår kan funktionen därefter säkert anropas efter att andra trådar har startats.

race

Funktioner annoterade med race som ett MT-Safety-problem opererar på objekt på sätt som kan orsaka data-kapplöpningar eller liknande former av destruktiv interferens vid samtidig exekvering. I vissa fall skickas objekten till funktionerna av användare; i andra används de av funktionerna för att returnera värden till användare; i ytterligare andra exponeras de inte ens för användare.

const

Funktioner märkta med const som ett MT-Safety-problem modifierar icke-atomärt interna objekt som bättre betraktas som konstanta, eftersom en stor del av GNU C Library får åtkomst till dem utan synkronisering. Till skillnad från race, som gör både läsare och skribenter av interna objekt osäkra, tillämpas denna markering endast på skribenter. Skribenter förblir MT-Unsafe att anropa, men objektens då obligatoriska konstanthet som de modifierar möjliggör att läsare betraktas som MT-Safe (så länge inga andra skäl för osäkerhet kvarstår), eftersom avsaknaden av synkronisering inte är ett problem när objekten är i praktiken konstanta.

Identifikatorn som följer efter const kommer att visas ensam som en säkerhetsanmärkning i läsare. Program som vill arbeta runt detta säkerhetsproblem, för att kunna anropa skribenter, kan använda ett icke-rekursivt läs-skriv-lås associerat med identifikatorn, och skydda alla anrop till funktioner märkta med const följt av identifikatorn med ett skrivlås, och alla anrop till funktioner märkta med identifikatorn ensam med ett läslås.

sig

Funktioner märkta med sig som ett MT-Safety-problem kan temporärt installera en signalhanterare för interna ändamål, vilket kan störa andra användningar av signalen, identifierad efter ett kolon.

Detta säkerhetsproblem kan undvikas genom att säkerställa att inga andra användningar av signalen kommer att äga rum under samtalet. Att hålla ett icke-rekursivt mutexlås medan man anropar alla funktioner som använder samma temporära signal; att blockera den signalen före anropet och återställa dess hanterare efteråt rekommenderas.

term

Funktioner märkta med term som ett MT-Safety-problem kan ändra terminalinställningarna på det rekommenderade sättet, nämligen: anropa tcgetattr(3), modifiera vissa flaggor, och sedan anropa tcsetattr(3). Detta skapar ett fönster där ändringar gjorda av andra trådar går förlorade. Således är funktioner märkta med term MT-Unsafe.

Det är därför tillrådligt för applikationer som använder terminalen att undvika samtidiga och reentranta interaktioner med den, genom att inte använda den i signalhanterare eller blockera signaler som kan använda den, och hålla ett lås medan man anropar dessa funktioner och interagerar med terminalen. Detta lås bör också användas för ömsesidig uteslutning med funktioner märkta med race:tcattr(fd), där fd är en filbeskrivare för den styrande terminalen. Anroparen kan använda en enda mutex för enkelhetens skull, eller använda en mutex per terminal, även om de refereras till av olika filbeskrivare.

Andra säkerhetsanmärkningar

Ytterligare nyckelord kan bifogas funktioner, vilket indikerar funktioner som inte gör en funktion osäker att anropa, men som kan behöva beaktas i vissa programklasser:

locale

Funktioner annoterade med locale som ett MT-Safety-problem läser från lokalobjektet utan någon form av synkronisering. Funktioner annoterade med locale som anropas samtidigt med lokala ändringar kan bete sig på sätt som inte motsvarar någon av de lokaler som är aktiva under deras exekvering, utan en oförutsägbar blandning av dem.

Vi markerar inte dessa funktioner som MT-Unsafe, eftersom funktioner som modifierar lokalobjektet är märkta med const:locale och betraktas som osäkra. Eftersom de är osäkra ska de senare inte anropas när flera trådar körs eller asynkrona signaler är aktiverade, och därför kan lokalen betraktas som i praktiken konstant i dessa sammanhang, vilket gör de tidigare säkra.

env

Funktioner märkta med env som ett MT-Safety-problem får åtkomst till miljön med getenv(3) eller liknande, utan några skydd för att säkerställa säkerhet i närvaro av samtidiga modifieringar.

Vi markerar inte dessa funktioner som MT-Unsafe, eftersom funktioner som modifierar miljön alla är märkta med const:env och betraktas som osäkra. Eftersom de är osäkra ska de senare inte anropas när flera trådar körs eller asynkrona signaler är aktiverade, och därför kan miljön betraktas som i praktiken konstant i dessa sammanhang, vilket gör de tidigare säkra.

hostid

Funktionen märkt med hostid som ett MT-Safety-problem läser från systemövergripande datastrukturer som håller maskinens "host ID". Dessa datastrukturer kan generellt inte modifieras atomärt. Eftersom det förväntas att "host ID" normalt inte kommer att ändras, betraktas funktionen som läser från den (gethostid(3)) som säker, medan funktionen som modifierar den (sethostid(3)) är märkt med const:hostid, vilket indikerar att den kan kräva särskild omsorg om den ska anropas. I detta specifika fall motsvarar den särskilda omsorgen systemövergripande (inte bara inom process) koordination.

sigintr

Funktioner märkta med sigintr som ett MT-Safety-problem får åtkomst till GNU C Librarys interna datastruktur _sigintr utan några skydd för att säkerställa säkerhet i närvaro av samtidiga modifieringar.

Vi markerar inte dessa funktioner som MT-Unsafe, eftersom funktioner som modifierar denna datastruktur alla är märkta med const:sigintr och betraktas som osäkra. Eftersom de är osäkra ska de senare inte anropas när flera trådar körs eller asynkrona signaler är aktiverade, och därför kan datastrukturen betraktas som i praktiken konstant i dessa sammanhang, vilket gör de tidigare säkra.

cwd

Funktioner märkta med cwd som ett MT-Safety-problem kan temporärt ändra den aktuella arbetskatalogen under sin exekvering, vilket kan orsaka att relativa sökvägar löses på oväntade sätt i andra trådar eller inom asynkrona signal- eller avbrythanterare.

Detta är inte tillräckligt för att markera så märkta funktioner som MT-Unsafe, men när detta beteende är valfritt (t.ex. nftw(3) med FTW_CHDIR), kan det vara ett bra alternativ att undvika alternativet istället för att använda fullständiga sökvägar eller filbeskrivare-relativa (t.ex. openat(2)) systemanrop.

:identifier

Annoteringar kan ibland följas av identifikatorer, avsedda att gruppera flera funktioner som, till exempel, får åtkomst till datastrukturer på ett osäkert sätt, som i race och const, eller för att ge mer specifik information, såsom att namnge en signal i en funktion märkt med sig. Det förutses att det kan tillämpas på lock och corrupt också i framtiden.

I de flesta fall kommer identifikatorn att namnge en uppsättning funktioner, men den kan namnge globala objekt eller funktionsargument, eller identifierbara egenskaper eller logiska komponenter associerade med dem, med en notation som, till exempel, :buf(arg) för att beteckna en buffer associerad med argumentet arg, eller :tcattr(fd) för att beteckna terminalattributen för en filbeskrivare fd.

Den vanligaste användningen för identifikatorer är att tillhandahålla logiska grupper av funktioner och argument som behöver skyddas av samma synkroniseringsprimitive för att säkerställa säker drift i ett givet sammanhang.

/villkor

Vissa säkerhetsannoteringar kan vara villkorliga, i den meningen att de endast gäller om ett booleskt uttryck som involverar argument, globala variabler eller till och med den underliggande kärnan utvärderas till sant. Till exempel, /!ps och /one_per_line indikerar att den föregående markören endast gäller när argumentet ps är NULL, eller den globala variabeln one_per_line är nollskild.

När alla markeringar som gör en funktion osäker är prydda med sådana villkor, och inget av de nämnda villkoren gäller, kan funktionen betraktas som säker.

SE ÄVEN

COLOFON

Denna sida är en del av man-sidorna (dokumentation för Linux-kärnan och C-bibliotekets användargränssnitt) projekt. Information om projektet finns på man-pages-projektet. Om du har en felrapport för denna man-sida, se CONTRIBUTING. Denna sida erhölls från tarballen man-pages-6.9.1.tar.gz hämtad från [1] den 2024-06-26. Om du upptäcker några återgivningsproblem i denna HTML-version av sidan, eller du tror att det finns en bättre eller mer uppdaterad källa för sidan, eller du har korrigeringar eller förbättringar av informationen i denna COLOFON (som inte är en del av den ursprungliga man-sidan), skicka ett mail till man-pages@man7.org.

Linux man-sidor 6.9.1 2024-05-02 attributes(7)

Sidor som hänvisar till denna sida

Sidslut

Orginalhemsidan på Engelska :https://man7.org/linux/man-pages/man7/attributes.7.html

Det här är en maskinöversättning av Linux man sidor till svenska. Om du hittar fel är vi tacksamma om du rapporterar dem via formuläret som finns på https://www.linux.se/kontaka-linux-se/

Tack till Datorhjälp som har sponsrat Linux.se med webbhotell.

attributes(7)

Innehåll

attributes(7) – Diverse informationsmanual

NAMN

BESKRIVNING

MT-Safe

MT-Unsafe

Villkorligt säkra funktioner

init

race

const

sig

term

Andra säkerhetsanmärkningar

locale

env

hostid

sigintr

cwd

:identifier

/villkor

SE ÄVEN

COLOFON

Sidor som hänvisar till denna sida

Sidslut

Navigeringsmeny

attributes(7)

attributes(7) – Diverse informationsmanual

NAMN

BESKRIVNING

MT-Safe

MT-Unsafe

Villkorligt säkra funktioner

init

race

const

sig

term

Andra säkerhetsanmärkningar

locale

env

hostid

sigintr

cwd

:identifier

/villkor

SE ÄVEN

COLOFON

Sidor som hänvisar till denna sida

Sidslut

Navigeringsmeny

Sök