使用scanf("%d", ...)是否和gets一样不安全？

多年来，gets一直被公认为是不安全的函数，它的安全性问题极为严重，甚至已被从C11语言标准中移除。仅有极少部分gets的支持者认为，只要清楚输入结构，使用它完全可行。

为何那些批判gets、认为依赖输入结构不可取的人，却默许在scanf格式字符串中使用%d转换说明符？这背后有社会学层面的原因，但真正的核心问题是：scanf格式字符串中的%d为何不安全？

核心安全隐患解析 #

• 整数溢出与未定义行为：当使用scanf("%d", &num)读取整数时，如果输入的数值超出了目标变量类型（如int）的取值范围，scanf不会执行任何边界检查，直接将数据写入内存。这种情况下会触发未定义行为——可能破坏相邻内存的合法数据，导致程序崩溃，甚至被攻击者利用来执行恶意代码。
• 错误输入的连锁反应：如果输入的不是合法十进制整数（比如混入字母、特殊符号），scanf会读取失败，未处理的输入会滞留在缓冲区中，导致后续所有输入操作逻辑混乱。更危险的是，大量开发者不会检查scanf的返回值，根本无法及时发现输入错误，进一步放大了风险。
• 依赖输入结构的本质风险：和gets一样，使用%d本质上是在假设输入会严格符合预期的整数格式。一旦遇到刻意构造的恶意输入（比如超长数字、非法字符序列），程序的稳定性和安全性就会受到严重威胁，这与批判gets时反对的“依赖输入结构”问题完全一致。

为何%d被“默许”使用？ #

这本质是一个社会学问题：%d是C语言中读取整数最常用的方式，开发者长期使用形成了习惯，往往忽略了它在不可信输入场景下的风险。相比gets的极端不安全（无限制读取缓冲区），%d的问题更隐蔽，只有在特定恶意输入下才会暴露，因此容易被开发者忽视。

内容的提问来源于stack exchange，提问作者William Pursell