Действие по умолчанию зависит от процессора, компилятора и настроек. На MIPS, например, его "классические" компиляторы превращали сложение знаковых в команду add, которая генерирует исключение при переполнении, а беззнаковых - addu, которая не генерирует. Но gcc, clang уже такого не делали, всё через addu. На x86 - родные команды add, sub игнорируют переполнение (точнее, ставят флаг CF или OF, но не генерируют исключение).
Компиляторы современного типа считают, что переполнения в операциях с целыми со знаком не должно быть, иногда из-за этого возникают интересные эффекты - вот самый убойный пример из тех, что я видел. Стандарт тут действует по принципу "мы вам даём возможность писать максимально эффективно, потому что это C, а не учебный язык, а защита от кривостей - ваша проблема". В отличие от них, для целых без знака определено поведение как для арифметики по модулю 2**N, где N - количество битов в значении. Это различие возникло из-за того, что не было извесно в общем случае, какое представление целых со знаком будет из набора: прямой код (sign and magnitude), обратный код (1ʼs complement), дополнительный код (0ʼs complement, но на устоявшемся уже жаргоне twoʼs complement), это сейчас можно смело говорить, что кроме дополнительного кода вариантов нет. Но потом это различие было реально заабьюзено на возможность делать хитрые оптимизации на основании предположения о непереполнении.
Для C++ есть, например, библиотечка (шаблонный заголовочный файл) SafeInt3
от Microsoft, под свободной лицензией; ею можно покрыть все основные операции, хотя она весьма стара, не использует специфику процессоров (даже x86) и оттого во многих случаях неэффективна - там, где достаточно одного OF или CF, или overflow builtins от GCC, она городит много сложных расчётов.
Для C придётся всё писать вручную, заменяя обычные операции на свои эквиваленты функциями или макросами.
Про новые встроенные функции последних gcc и clang (__builtin_add_overflow
, __builtin_mul_overflow
и вся группа) уже писали. На них можно всегда получить урезанное (оно же wrapped) значение операции (как в 16 битах 30000 + 30000 -> -5536), и признак переполнения, и можно получать каждый из них безопасно (не будет неожиданных оптимизаций). Но и без них можно сделать достаточно неплохо. Например, в случае сложения двух int, проверка вида a > INT_MAX - b
, если b > 0, иначе a < INT_MIN - b
, достаточна, чтобы проверить разрешимость сложения. Самое тяжёлое тут проверка умножения без поддержки компилятора: единственным всегда работающим вариантом считается проверка делением, а это очень дорого. Я считаю, что overflow builtins надо ввести во все стандарты (кроме нынешнего набора add, mul, div добавить ещё shl).
-ftrapv
(при переполнении знаковых целочисленных вызываетсяabort()
), дляclang
предпочтительно использовать санитайзер:-fsanitize=signed-integer-overflow
(stackoverflow.com/a/20851708/5571818)