Cppcheck无法检测部分use-after-free错误，属缺陷还是局限？

先看这段代码（free.c）：

#include <stdlib.h>
    
int main() {
    int *ptr = malloc(sizeof(int)); 
    free(ptr);
    *ptr = 0;
}

运行cppcheck --enable=all free.c，工具能正确检测到*ptr = 0;处的"use-after-free"错误，输出如下：

Checking free.c ...
free.c:6:6: error: Dereferencing 'ptr' after it is deallocated / released [deallocuse]
    *ptr = 0;

但如果把赋值语句改成ptr[0] = 0;，Cppcheck就无法检测到任何错误，代码如下：

#include <stdlib.h>

int main() {
    int *ptr = malloc(sizeof(int)); 
    free(ptr);
    ptr[0] = 0;
}

结论：这是Cppcheck的缺陷，而非技术局限 #

在C语言语法中，ptr[0]和*ptr是完全等价的——编译器会将ptr[0]解析为*(ptr + 0)，最终和*ptr的内存访问行为完全一致。静态分析工具没有理由对这两种等价的语法做出不同的检测结果。

Cppcheck未能识别ptr[0]形式的释放后指针访问，本质是其use-after-free检测规则的实现遗漏：当前规则可能只针对直接解引用（*ptr）的场景做了跟踪，没有覆盖数组下标访问（尤其是常量索引为0的情况）。这种问题属于工具功能的不完善，而非静态分析技术本身无法处理——只要扩展检测逻辑，将数组下标访问纳入释放后指针的跟踪范围，就能修复这个问题。

内容的提问来源于stack exchange，提问作者vengy