c - XCode 说 C 程序可能不安全？这到底是什么意思？

Question

假设我们在 C 中工作。

如果我继续这样做:

char *word;
word = "Hello friends";
printf(word);

然后 XCode 告诉我，因为我没有使用字符串文字，所以我可能有一些不安全的东西。这是否意味着可以破解我的程序？如果是这样，那怎么会发生？

或者，如果我这样做:

char *word;
word = "Hello friends";
printf("%s", word);

然后 XCode 没有任何标志，我很好。到底有什么区别？

Answer 1

printf 的第一个参数不是您要打印的字符串。这是一个格式字符串。它可以包含格式化指令，这些指令会在与其他参数组合后生成打印的字符串。

你的第一个例子是 an uncontrolled format string vulnerability .