MISRA C++:2008规则10-3-1原理及合规实现方法问询

1、10-3-1禁止重写非纯虚已定义函数的核心动因 #

这个规则的设计出发点根本不是代码审阅便利性，而是面向高可靠嵌入式场景的行为确定性与契约一致性要求：

• 非纯虚函数在MISRA的契约定义里，代表基类已经提供了「满足类不变量、可直接安全使用的完整实现」，如果允许子类随意重写，很容易出现子类绕过基类内置的安全校验、锁操作、状态维护逻辑的问题——这类问题在复杂继承层级、多继承场景下极难排查，在功能安全要求最高的场景（汽车ASIL D、航空DO-178C、工业SIL3以上）会直接导致不可接受的风险。
• 规则制定时（2008年前后），不少嵌入式C++编译器对多态、虚表的实现存在兼容性差异，重写已有实现的非纯虚函数，在多继承、不同优化等级、分离编译场景下，曾多次出现调用到错误函数版本的问题，会直接破坏硬实时系统的执行确定性。
• 规则允许的「纯虚函数附带默认实现」例外，本质是契约上的明确区分：纯虚函数不管有没有默认实现，都代表基类明确要求「子类必须提供自己的实现，基类的默认实现只是可供显式调用的公共逻辑片段，不是可直接使用的完整版本」，和非纯虚函数的契约完全不同。

2、10-3-2示例看似违反10-3-1的原因 #

这是编码规范文档的通用写作逻辑：单条规则的示例仅孤立演示当前规则的判定标准，不会叠加其他所有规则的约束。
10-3-2的核心要求是「重写的虚函数必须显式标注virtual，不能依赖隐式虚属性」，示例里的bar()仅用来演示「不写virtual属于违规」这个判定点，并不是说这个写法在整个MISRA规则集下是完全合规的——读者需要自行结合10-3-1的要求判断：如果基类的bar()是非纯虚有定义的，重写本身就违反10-3-1，不需要在10-3-2的示例里重复说明。

3、合规实现子类差异化行为的方案 #

不需要提交偏差，直接用MISRA明确推荐的非虚接口（NVI）模式即可，完全符合两条规则的要求，核心写法如下：

• 基类对外暴露public级别的非虚函数作为固定接口，这部分永远不被子类重写，内部统一实现参数校验、锁操作、状态检查、日志记录等全局不变量逻辑。
• 把需要子类定制的逻辑拆成private/protected级别的纯虚钩子函数，基类可以给纯虚钩子提供默认实现，供子类显式调用。
• 子类只重写纯虚钩子函数，显式标注virtual，在钩子内部实现差异化逻辑，需要复用基类默认逻辑时直接显式调用基类版本即可。

合规代码示例：

class Foo
{
public:
    // 对外公共接口，非虚，永远不重写，符合10-3-1
    void bar()
    {
        // 基类统一维护的前置校验逻辑，子类无法绕过
        pre_check();
        // 调用子类可定制的钩子
        do_bar();
        // 基类统一维护的后置处理逻辑
        post_check();
    }
private:
    void pre_check() { /* 固定安全校验逻辑，不设为虚函数 */ }
    void post_check() { /* 固定状态维护逻辑，不设为虚函数 */ }
    // 纯虚钩子，子类必须实现，符合10-3-1的重写要求
    virtual void do_bar() = 0;
};

// 纯虚钩子的默认实现，属于规则允许的例外场景
void Foo::do_bar()
{
    // 可供子类复用的默认逻辑
}

class Bar : public Foo
{
private:
    // 重写纯虚钩子，显式标注virtual，同时符合10-3-1和10-3-2
    virtual void do_bar()
    {
        // 需要复用默认逻辑就显式调用，不需要就自行实现
        Foo::do_bar();
        // 追加子类差异化逻辑
    }
};

补充说明：2008版规则发布时C11尚未正式定稿，因此10-3-2要求显式写virtual，后续更新的MISRA C版本已经将该要求调整为重写函数必须显式加override关键字，和现代C++最佳实践一致。

内容的提问来源于stack exchange，提问作者Chilippso