防御性編程：讓系統堅不可摧
1. 引言
面對復雜多變的運行環境、不可預測的用戶輸入以及潛在的編程錯誤，如何確保軟件在遭遇異常情況時依然能夠穩定運行，是每位開發者必須面對的挑戰。防御性編程（Defensive Programming）正是為解決這一問題而生的一種編程范式，它強調在編程過程中預見并防范潛在的錯誤和異常情況，從而增強軟件的健壯性和穩定性。作為一種細致、謹慎的編程方法，通過提前考慮并防范可能出現的錯誤，從而有效減少軟件漏洞和故障。本文將詳細介紹防御性編程的基本概念、關鍵策略，并通過實際案例展示其在實際項目中的應用。
2. 防御性編程的基本概念
防御性編程的核心思想在于承認程序總會存在問題和需要修改，因此聰明的程序員會提前考慮并防范可能的錯誤。它強調在編程過程中不僅要實現功能，還要確保程序在面對錯誤輸入、異常情況和并發操作時能夠穩定運行。
3. 防御性編程的核心原則
3.1 風險識別
非系統性風險：只影特定場景下的響單次調用，不對系統整體穩定性產生影響。比如空指針異常、數據越界等。
系統性風險：導致整個服務不可用的風險。比如 死循環，分頁查詢pageSize過大等。
3.2 防御原則
- 假設輸入總是錯誤的：不依賴外部輸入的絕對正確性，對所有輸入進行驗證和清理。
- 最小化錯誤的影響范圍：通過異常處理、錯誤隔離等措施，限制錯誤對系統整體的影響。
- 使用斷言進行內部檢查：在代碼的關鍵位置加入斷言，確保程序狀態符合預期。
- 代碼清晰易懂：編寫易于理解和維護的代碼，便于團隊成員發現潛在問題。
- 持續測試：通過單元測試、集成測試等手段，不斷驗證軟件的正確性和穩定性。
4. 防御性編程案例
4.1 輸入驗證與清理
場景
用戶輸入數據到Web表單中，系統需要處理這些數據以進行后續操作。
防御性編程實踐
風險識別：系統性風險，可能導致系統整體不可用。
防御策略：
?驗證數據類型：確保用戶輸入的數據類型符合預期（如數字、字符串、日期等）。如果類型不匹配，應給出錯誤提示并要求用戶重新輸入。
?長度和范圍檢查：對于字符串、數字等類型的數據，進行長度和范圍檢查，確保它們不超過系統處理能力的限制。
?清理輸入數據：去除輸入數據中的非法字符或格式，如去除字符串兩端的空格、將特殊字符轉換為普通字符等。
分頁參數防御式編程案例
下面以分頁參數防御式編程為案例進行舉例說明：
場景描述：假設開發一個Web API，該API需要根據用戶請求返回特定數據的分頁結果。分頁請求包含以下參數：
?pageSize：每頁應顯示的記錄數。
?pageNumber：用戶請求的當前頁碼。
防御性編程措施：
- 驗證pageSize：確保pageSize是一個正整數，并且不超過一個合理的最大值（例如100），以防止資源過度消耗。
- 驗證pageNumber：確保pageNumber是一個正整數，并且不會請求到不存在的頁碼（即基于總記錄數和pageSize計算出的最大頁碼之后）。
- 處理無效參數：如果參數無效，則返回清晰的錯誤消息，并可能設置一個默認的頁碼或每頁記錄數。
- 計算總頁數：基于總記錄數和pageSize計算總頁數，以便在返回分頁信息時包含給用戶。
示例代碼（偽代碼）：
private static final int MAX_PAGE_SIZE = 100;
/**
* 獲取分頁信息并進行參數校驗
*
* @param totalRecords 總記錄數
* @param pageSize 每頁記錄數
* @param pageNumber 當前頁碼
* @return 分頁信息，包括總頁數、當前頁碼等
*/
public PaginationInfo getPaginationInfo(int totalRecords, int pageSize, int pageNumber) {
// 校驗pageSize
if (pageSize <= 0 || pageSize > MAX_PAGE_SIZE) {
throw new IllegalArgumentException("pageSize必須為正整數且不超過" + MAX_PAGE_SIZE);
}
// 校驗pageNumber
if (pageNumber <= 0) {
pageNumber = 1; // 默認為第一頁
}
// 計算總頁數
int totalPages = (totalRecords + pageSize - 1) / pageSize;
// 確保pageNumber不超過總頁數
if (pageNumber > totalPages) {
pageNumber = totalPages;
}
// 計算當前頁的數據起始索引（可選，根據具體需求）
int startIndex = (pageNumber - 1) * pageSize;
// 返回分頁信息
return new PaginationInfo(totalPages, pageNumber, startIndex);
}
// PaginationInfo 是一個簡單的類，用于封裝分頁信息
...在這個例子中，getPaginationInfo方法首先驗證了pageSize和 pageNumber參數的有效性，確保了它們符合預期的約束條件。如果參數無效，方法會拋出一個 IllegalArgumentException 異常，這有助于調用者識別并處理錯誤情況。然后，方法計算了總頁數，并根據需要調整了 pageNumber 以確保它不會超出范圍。最后，方法返回了一個包含分頁信息的 PaginationInfo 對象。
這種防御性編程策略有助于防止因無效的分頁參數而導致的程序錯誤，提高了API的健壯性和用戶體驗。
4.2 預防死循環
場景
在循環或者遍歷場景中，沒有明確的退出機制。
防御性編程實踐
風險識別：系統性風險，可能導致系統整體不可用。
防御策略：
?參數驗證：檢查涉及循環步長的入參是否有效。
?循環終止條件必達性確認：在涉及條件校驗的場景中，避免等值條件判斷，防止跳過循環終止點。
?日志記錄：在關鍵位置添加日志記錄，幫助調試和追蹤問題。
示例代碼（Java）：
/**
* 生成時間段。
*
* @param startMinutes 開始時間
* @param endMinutes 結束時間
* @param interval 時間段間隔
* @param duration 時間的時長
* @return 時間段列表
*/
public List<String> generateList(int startMinutes, int endMinutes, int interval, int duration) {
List<String> result = new ArrayList<>();
int nextStartTime = startMinutes;
while (nextStartTime == endMinutes) {
int currentStartMinutes = nextStartTime;
int currentEndMinutes = currentStartMinutes + duration;
result.add(currentStartMinutes + "-" + currentEndMinutes);
nextBatchStartTime += interval;
}
return result;
}針對以上代碼，我們可以添加一些防御式編程的元素來確保代碼的健壯性和可靠性。防御式編程側重于預防錯誤的發生，包括輸入驗證、錯誤處理和邊界條件檢查。以下是修改后的代碼，包含了防御式編程的改進：
/**
* 生成時間段。
*
* @param startMinutes 開始時間
* @param endMinutes 結束時間
* @param interval 時間段間隔
* @param duration 時間的時長
* @return 時間段列表
*/
public List<String> generateList(int startMinutes, int endMinutes, int interval, int duration) {
// 改進點1：校驗 interval，以保證循環中的步長能夠正向增長
// 一般情況下，還需要對步長，和 endMinutes與startMinutes的區間大小做限制，避免生成“巨大”的列表。
if (interval <= 0) {
throw new IllegalArgumentException("Invalid parameters: interval must be positive integers.");
}
List<String> result = new ArrayList<>();
int nextStartTime = startMinutes;
//改進點2：避免使用等號做循環終止條件，以防跳過循環終止點。
while (nextStartTime <= endMinutes) {
int currentStartMinutes = nextStartTime;
int currentEndMinutes = currentStartMinutes + duration;
result.add(currentStartMinutes + "-" + currentEndMinutes);
nextBatchStartTime += interval;
}
return result;
}4.3 異常處理
場景
程序在讀取文件、進行網絡請求或執行其他可能失敗的操作時，需要處理潛在的異常。
防御性編程實踐
風險識別：非系統性風險，影響單次請求。
防御策略：
?使用try-except語句：將可能拋出異常的代碼塊放在try語句中，并在except語句中捕獲并處理這些異常。
?區分異常類型：根據實際需要捕獲特定的異常類型，或捕獲所有異常（使用Exception作為異常類型）。
?記錄錯誤信息：在捕獲異常后，記錄詳細的錯誤信息（如異常類型、錯誤消息、堆棧跟蹤等），以便后續分析和調試。
示例代碼（Java）：
/**
* 讀取文件內容。
*
* @param filePath 文件路徑
* @return 文件內容，如果文件不存在或讀取失敗則返回null
*/
public static String readFile(String filePath) {
try {
byte[] encoded = Files.readAllBytes(Paths.get(filePath));
return new String(encoded);
} catch (FileNotFoundException e) {
log.info("文件未找到：" + filePath);
return null;
} catch (Exception e) {
log.info("讀取文件時發生錯誤：" + e.getMessage());
return null;
}
}4.4 邊界條件檢查
場景
在循環、條件判斷或數組訪問等操作中，需要確保不會超出預期的范圍或邊界。
防御性編程實踐
風險識別：非系統性風險，影響單次請求。
防御策略：
?檢查循環條件：確保循環條件在每次迭代后都能正確更新，以避免無限循環。
?數組和集合訪問：在訪問數組、列表、字典等集合的元素之前，檢查索引或鍵是否有效。
?邊界值測試：對函數或方法的輸入進行邊界值測試，以確保它們在邊界條件下也能正常工作。
示例代碼（Java）：
public class ArrayAccess {
public static void main(String[] args) {
int[] numbers = {1, 2, 3, 4, 5};
int index = getIndexFromUser(); // 假設這是從用戶那里獲取的索引
if (index >= 0 && index < numbers.length) {
log.info(numbers[index]);
} else {
log.info("索引超出數組范圍");
}
}
// 假設這個方法從用戶那里獲取索引值，并進行基本的驗證
private static int getIndexFromUser() {
// 為了示例，我們直接返回一個示例值
return 2; // 假設用戶輸入了有效的索引值2
}
}4.5 使用斷言進行內部檢查
場景
在代碼的關鍵路徑上，需要確保某些條件始終為真，否則程序將無法正確執行。
防御性編程實踐
?使用斷言：在代碼的關鍵位置添加斷言（如Python的assert語句），以驗證程序狀態是否符合預期。如果斷言失敗，則拋出AssertionError異常。
?注意斷言的使用場景：斷言主要用于開發和測試階段，用于捕獲那些理論上不應該發生的錯誤。在生產環境中，應該依賴更健壯的錯誤處理機制。
示例代碼（Java）：
/**
* 計算年齡。
*
* @param birthYear 出生年份
* @return 年齡，如果輸入無效則返回-1。
*/
public static int calculateAge(int birthYear) {
// 輸入驗證：確保出生年份是一個合理的值
if (birthYear <= 0 || birthYear > java.time.Year.now().getValue()) {
// 拋出IllegalArgumentException來指示方法接收到了非法參數
throw new IllegalArgumentException("出生年份必須是一個大于0且小于當前年份的整數");
}
// 計算年齡
int currentYear = java.time.Year.now().getValue();
return currentYear - birthYear;
}
public static void main(String[] args) {
try {
// 假設我們從某個地方（如用戶輸入）獲取了出生年份
int birthYear = 1990; // 這里直接賦值作為示例
int age = calculateAge(birthYear);
if (age != -1) { // 注意：這個例子中calculateAge實際上不會返回-1，但為了展示如何處理可能的異常情況，我們可以這樣設計
log.info("年齡是：" + age);
}
} catch (IllegalArgumentException e) {
// 捕獲并處理IllegalArgumentException
log.info("錯誤：" + e.getMessage());
}
// 如果需要從用戶輸入中獲取出生年份，你可以添加相應的邏輯來處理字符串到整數的轉換和驗證
}
// 注意：在這個例子中，我們沒有直接使用assert，因為Java的assert主要用于調試，且默認是禁用的。
// 而是通過顯式的條件檢查和異常拋出來實現防御性編程。5. 防御式編程的挑戰
5.1 是不是防御式代碼越多越好呢？
No，過度的防御式編程會使程序會變得臃腫而緩慢，增加軟件的復雜度。
要考慮好什么地方需要進行防御，然后因地制宜地調整進行防御式編程的優先級。
一般在入口處或者接入層做通用性防御性編程，比如數據準入校驗；但對于循環類邏輯，應始終在使用處做細節性防御。
5.2 通用性防御措施 優于 細節性的防御
例如對于網絡請求，一般是統一處理超時、鑒權、各種錯誤code，而不是在業務層個別處理
5.3 根據使用場景，調整防御力度
如項目內部使用的utils函數和公開發布的package，后者防御要求更高
6. 結論
防御性編程是一種積極主動的編程策略，它要求開發者在編寫代碼時，不僅要關注功能的實現，更要關注代碼的健壯性和穩定性。通過預見并防范潛在的錯誤和異常情況，防御性編程能夠顯著提升軟件的質量，減少因外部因素導致的程序崩潰，提升系統穩定性。
