如何避免无符号整数与有符号数的错误比较？

在C语言中，以下代码存在明显的逻辑错误：

void main() {
    unsigned int a = 0;
    if (a - 10 < 0) {
        printf("error!\n");
    }
}

问题出在a是无符号整数类型，a - 10的结果会触发无符号数下溢绕回，被解析为一个极大的无符号整数，永远不可能小于0，导致条件判断完全失效，printf语句永远不会执行。

有人尝试通过引入有符号整数变量修改代码，试图规避问题：

void main() {
    unsigned int a = 0;
    int b = 0;// 或者 const int b = 0;
    if (a - 10 < b) {
        printf("error!\n");
    }
}

但这种写法兼容性很差：Visual Studio 2022 17.2.4会触发C4018警告（提示有符号与无符号类型不匹配），但gcc 4.8.5不会给出任何警告，依然可能让开发者忽略潜在的逻辑问题。

在更贴近实际开发的复杂场景中，这类错误更容易被忽视，比如下面的示例：

struct s{
unsigned int len;
char *buffer;
} *a;

int not_safe(struct s *ptr){
 if(ptr->len - sizeof(struct s) < 0){
  return 0;
 }
 return 1;
}

这里ptr->len是无符号整数，sizeof(struct s)返回的size_t本质也是无符号类型，两者相减的结果仍是无符号数，和0的比较永远不会成立，导致函数逻辑完全错误，但开发者往往很难第一时间察觉这类问题。

安全规避的有效方法 #

• 重构比较逻辑，避免下溢：直接用无符号数的规则改写判断，比如把a - 10 < 0改成a < 10，把ptr->len - sizeof(struct s) < 0改成ptr->len < sizeof(struct s)，既符合无符号数运算规则，逻辑也更直观。
• 显式转换类型（需注意范围）：如果确定无符号变量的取值不会超出对应有符号类型的范围，可以将其强制转换为有符号类型后再计算，比如(int)a - 10 < 0。但要注意，若无符号变量的值超过INT_MAX，强制转换会导致未定义行为，所以这种方法仅适用于明确数值范围的场景。
• 启用编译器严格警告：在gcc中启用-Wsign-compare（包含在-Wall编译选项中），新版本gcc会对有符号与无符号的不匹配比较发出警告；Visual Studio也可以开启更高等级的警告，强制检测这类类型不匹配问题，从编译阶段提前发现错误。

内容的提问来源于stack exchange，提问作者VictorV