来源：单片机及嵌入式系统应用  作者：清华大学 张首钊 邵贝贝

程序的执行流程是由条件判断、跳转和循环构成的，没有任何一个程序会缺少程序流的控制。那么像if、for、while、switch等这些程序员无比熟悉的语句也存在隐患吗?事实上，C语言是很灵活的，这种灵活性给程序员编写代码带来了很多便利，但同时也带来了很多容易导致混淆的表达。这些表达完全符合C语言标准，但有时程序员也难以发现自己犯了错误，最终的结果是使程序进入错误的执行流程。即使程序员没有犯错误，但有些容易混淆的表达也会给其他人读懂程序带来困扰，使程序的维护变得困难。除此以外，有少量控制流程的方式还会产生不确定的运行结果，而这些结果也不容易被发觉。

如何使程序的流程控制清晰、准确，不产生混淆的表达呢?MISRA-C给出了很多的相关规定，使程序流的控制变得规范，避免产生各种混淆和不确定性，从而最大程度上减少程序流控制中的失误，并使程序的维护更加容易。

下面从几个例子出发，讲述这些混淆是如何产生的，最后给出MISRA-C关于程序流控制的相关规则，帮助读者规范编程的习惯。

1 容易混淆的表达方式
先来看这样两段代码：

在C标准中，条件语句需要的是布尔值，条件语句表达式的布尔值实际上是按照整型处理的，所以这两段代码在语法和逻辑上都没有任何问题。第一段代码判断x是否等于y．如果相等，调用foo()函数；第二段代码首先将y的值赋给x，然后判断x是否为O，如果不为0，调用foo()函数。这两段代码只相差一个等号，却使判断条件大不相同，程序的执行流程会出现很大差别。

相信读者在写程序的时候都碰到过将“==”这个判断语句误写成赋值语句“=”的情况。那么面对这两个语句时，如何能快速准确地判断这是正确的还是程序员的失误呢?当程序比较简单的时候，很容易判断，但当程序流程比较复杂的时候，可能花费大量时间还难以给出确定的答案，而这些地方极有可能是有错误的。

这样的混淆，事实上是可以轻松避免的，MISRA-C提出了如下强制性的规则。
规则13．1：赋值表达式不能用在需要布尔值的地方。按照MISRA-C的标准，第二段代码应该写成：

这样，当看到需要布尔值的地方出现了赋值表达式，就可以立即判断这是一个错误。在这条规则下，如下的表达也是不允许的：

与这条规则类似，MISRA-C还提出了如下推荐的规则，来避免整型变量和布尔型的混淆。

规则13.2(推荐)；判断一个值是否为0应该是显式的，除非该操作数是一个布尔值。

这条规则禁止了如下的表达：

同样，这段代码在语法和逻辑上也没有任何问题，编译器也不会给出任何错误或者警告。在程序执行中，当x等于l的时候，将b的值赋给a，然后将a加2，退出；当x等于2的时候，直接将a的值加2，接着退出。但这儿很可能是一段错误的代码，程序员的本意有可能是x等于1时，将b的值赋给a，当x等于2时，直接将a的值加2。

为了避免这样的混淆，MISRA-C提出了如下强制性的规则。

规则15.2：所有非空的switch 子句都应该以break语句结束。
按照这条规则，上面的程序应该写成：

MISRA-C中还有一些防止程序流控制中出现混淆的规则。
规则13．5：for语句中的3个表达式只能和循环控制相关。第一个表达式只能为循环变量赋初值，第二个表达式只能进行循环条件的判断，第三个表达式只能进行循环变量增(减)值。

规则13.6：for循环中，循环变量只能在for语句的第三个表达式中修改，不允许在循环体中修改。

规则13.7：布尔表达式的值必须是可以改变的。
例如，如下代码是不允许的：

错误在于该条件判断的结果始终为真。
规则14.1：不能存在无法执行到的代码。
规则14.2：非空语句必须要么产生副作用(side effect)；或者使程序流程改变。

例如，下面的代码是不允许的：

…
x>=3；

…
错误在于x和3比较的结果被丢弃了。

规则14.3：一行中如果有空语句，那么该行只能有这条空语句，不能有别的语句，并且在这条空语句前不能有注释，注释必须在其后，用空格隔开。
例如，如下的代码都是不允许的；

来源：单片机及嵌入式系统应用  作者：清华大学 张首钊 邵贝贝

程序的执行流程是由条件判断、跳转和循环构成的，没有任何一个程序会缺少程序流的控制。那么像if、for、while、switch等这些程序员无比熟悉的语句也存在隐患吗?事实上，C语言是很灵活的，这种灵活性给程序员编写代码带来了很多便利，但同时也带来了很多容易导致混淆的表达。这些表达完全符合C语言标准，但有时程序员也难以发现自己犯了错误，最终的结果是使程序进入错误的执行流程。即使程序员没有犯错误，但有些容易混淆的表达也会给其他人读懂程序带来困扰，使程序的维护变得困难。除此以外，有少量控制流程的方式还会产生不确定的运行结果，而这些结果也不容易被发觉。

如何使程序的流程控制清晰、准确，不产生混淆的表达呢?MISRA-C给出了很多的相关规定，使程序流的控制变得规范，避免产生各种混淆和不确定性，从而最大程度上减少程序流控制中的失误，并使程序的维护更加容易。

下面从几个例子出发，讲述这些混淆是如何产生的，最后给出MISRA-C关于程序流控制的相关规则，帮助读者规范编程的习惯。

1 容易混淆的表达方式
先来看这样两段代码：

在C标准中，条件语句需要的是布尔值，条件语句表达式的布尔值实际上是按照整型处理的，所以这两段代码在语法和逻辑上都没有任何问题。第一段代码判断x是否等于y．如果相等，调用foo()函数；第二段代码首先将y的值赋给x，然后判断x是否为O，如果不为0，调用foo()函数。这两段代码只相差一个等号，却使判断条件大不相同，程序的执行流程会出现很大差别。

相信读者在写程序的时候都碰到过将“==”这个判断语句误写成赋值语句“=”的情况。那么面对这两个语句时，如何能快速准确地判断这是正确的还是程序员的失误呢?当程序比较简单的时候，很容易判断，但当程序流程比较复杂的时候，可能花费大量时间还难以给出确定的答案，而这些地方极有可能是有错误的。

这样的混淆，事实上是可以轻松避免的，MISRA-C提出了如下强制性的规则。
规则13．1：赋值表达式不能用在需要布尔值的地方。按照MISRA-C的标准，第二段代码应该写成：

这样，当看到需要布尔值的地方出现了赋值表达式，就可以立即判断这是一个错误。在这条规则下，如下的表达也是不允许的：

与这条规则类似，MISRA-C还提出了如下推荐的规则，来避免整型变量和布尔型的混淆。

规则13.2(推荐)；判断一个值是否为0应该是显式的，除非该操作数是一个布尔值。

这条规则禁止了如下的表达：

同样，这段代码在语法和逻辑上也没有任何问题，编译器也不会给出任何错误或者警告。在程序执行中，当x等于l的时候，将b的值赋给a，然后将a加2，退出；当x等于2的时候，直接将a的值加2，接着退出。但这儿很可能是一段错误的代码，程序员的本意有可能是x等于1时，将b的值赋给a，当x等于2时，直接将a的值加2。

为了避免这样的混淆，MISRA-C提出了如下强制性的规则。

规则15.2：所有非空的switch 子句都应该以break语句结束。
按照这条规则，上面的程序应该写成：

MISRA-C中还有一些防止程序流控制中出现混淆的规则。
规则13．5：for语句中的3个表达式只能和循环控制相关。第一个表达式只能为循环变量赋初值，第二个表达式只能进行循环条件的判断，第三个表达式只能进行循环变量增(减)值。

规则13.6：for循环中，循环变量只能在for语句的第三个表达式中修改，不允许在循环体中修改。

规则13.7：布尔表达式的值必须是可以改变的。
例如，如下代码是不允许的：

错误在于该条件判断的结果始终为真。
规则14.1：不能存在无法执行到的代码。
规则14.2：非空语句必须要么产生副作用(side effect)；或者使程序流程改变。

例如，下面的代码是不允许的：

…
x>=3；

…
错误在于x和3比较的结果被丢弃了。

规则14.3：一行中如果有空语句，那么该行只能有这条空语句，不能有别的语句，并且在这条空语句前不能有注释，注释必须在其后，用空格隔开。
例如，如下的代码都是不允许的；