test/Sema/format-strings.c

   1 // RUN: %clang_cc1 -fsyntax-only -verify -Wformat-nonliteral -isystem %S/Inputs %s
   2 // RUN: %clang_cc1 -fsyntax-only -verify -Wformat-nonliteral -isystem %S/Inputs -fno-signed-char %s
   3
   4 #include <stdarg.h>
   5 #include <stddef.h>
   6 #define __need_wint_t
   7 #include <stddef.h> // For wint_t and wchar_t
   8
   9 typedef struct _FILE FILE;
  10 int fprintf(FILE *, const char *restrict, ...);
  11 int printf(const char *restrict, ...); // expected-note{{passing argument to parameter here}}
  12 int snprintf(char *restrict, size_t, const char *restrict, ...);
  13 int sprintf(char *restrict, const char *restrict, ...);
  14 int vasprintf(char **, const char *, va_list);
  15 int asprintf(char **, const char *, ...);
  16 int vfprintf(FILE *, const char *restrict, va_list);
  17 int vprintf(const char *restrict, va_list);
  18 int vsnprintf(char *, size_t, const char *, va_list);
  19 int vsprintf(char *restrict, const char *restrict, va_list); // expected-note{{passing argument to parameter here}}
  20
  21 int vscanf(const char *restrict format, va_list arg);
  22
  23 char * global_fmt;
  24
  25 void check_string_literal( FILE* fp, const char* s, char *buf, ... ) {
  26
  27   char * b;
  28   va_list ap;
  29   va_start(ap,buf);
  30
  31   printf(s); // expected-warning {{format string is not a string literal}}
  32   vprintf(s,ap); // expected-warning {{format string is not a string literal}}
  33   fprintf(fp,s); // expected-warning {{format string is not a string literal}}
  34   vfprintf(fp,s,ap); // expected-warning {{format string is not a string literal}}
  35   asprintf(&b,s); // expected-warning {{format string is not a string lit}}
  36   vasprintf(&b,s,ap); // expected-warning {{format string is not a string literal}}
  37   sprintf(buf,s); // expected-warning {{format string is not a string literal}}
  38   snprintf(buf,2,s); // expected-warning {{format string is not a string lit}}
  39   __builtin___sprintf_chk(buf,0,-1,s); // expected-warning {{format string is not a string literal}}
  40   __builtin___snprintf_chk(buf,2,0,-1,s); // expected-warning {{format string is not a string lit}}
  41   vsprintf(buf,s,ap); // expected-warning {{format string is not a string lit}}
  42   vsnprintf(buf,2,s,ap); // expected-warning {{format string is not a string lit}}
  43   vsnprintf(buf,2,global_fmt,ap); // expected-warning {{format string is not a string literal}}
  44   __builtin___vsnprintf_chk(buf,2,0,-1,s,ap); // expected-warning {{format string is not a string lit}}
  45   __builtin___vsnprintf_chk(buf,2,0,-1,global_fmt,ap); // expected-warning {{format string is not a string literal}}
  46
  47   vscanf(s, ap); // expected-warning {{format string is not a string literal}}
  48
  49   // rdar://6079877
  50   printf("abc"
  51          "%*d", 1, 1); // no-warning
  52   printf("abc\
  53 def"
  54          "%*d", 1, 1); // no-warning
  55
  56   // <rdar://problem/6079850>, allow 'unsigned' (instead of 'int') to be used for both
  57   // the field width and precision.  This deviates from C99, but is reasonably safe
  58   // and is also accepted by GCC.
  59   printf("%*d", (unsigned) 1, 1); // no-warning
  60 }
  61
  62 // When calling a non-variadic format function (vprintf, vscanf, NSLogv, ...),
  63 // warn only if the format string argument is a parameter that is not itself
  64 // declared as a format string with compatible format.
  65 __attribute__((__format__ (__printf__, 2, 4)))
  66 void check_string_literal2( FILE* fp, const char* s, char *buf, ... ) {
  67   char * b;
  68   va_list ap;
  69   va_start(ap,buf);
  70
  71   printf(s); // expected-warning {{format string is not a string literal}}
  72   vprintf(s,ap); // no-warning
  73   fprintf(fp,s); // expected-warning {{format string is not a string literal}}
  74   vfprintf(fp,s,ap); // no-warning
  75   asprintf(&b,s); // expected-warning {{format string is not a string lit}}
  76   vasprintf(&b,s,ap); // no-warning
  77   sprintf(buf,s); // expected-warning {{format string is not a string literal}}
  78   snprintf(buf,2,s); // expected-warning {{format string is not a string lit}}
  79   __builtin___vsnprintf_chk(buf,2,0,-1,s,ap); // no-warning
  80
  81   vscanf(s, ap); // expected-warning {{format string is not a string literal}}
  82 }
  83
  84 void check_conditional_literal(const char* s, int i) {
  85   printf(i == 1 ? "yes" : "no"); // no-warning
  86   printf(i == 0 ? (i == 1 ? "yes" : "no") : "dont know"); // no-warning
  87   printf(i == 0 ? (i == 1 ? s : "no") : "dont know"); // expected-warning{{format string is not a string literal}}
  88   printf("yes" ?: "no %d", 1); // expected-warning{{data argument not used by format string}}
  89 }
  90
  91 void check_writeback_specifier()
  92 {
  93   int x;
  94   char *b;
  95   printf("%n", b); // expected-warning{{format specifies type 'int *' but the argument has type 'char *'}}
  96   printf("%n", &x); // no-warning
  97
  98   printf("%hhn", (signed char*)0); // no-warning
  99   printf("%hhn", (char*)0); // no-warning
 100   printf("%hhn", (unsigned char*)0); // no-warning
 101   printf("%hhn", (int*)0); // expected-warning{{format specifies type 'signed char *' but the argument has type 'int *'}}
 102
 103   printf("%hn", (short*)0); // no-warning
 104   printf("%hn", (unsigned short*)0); // no-warning
 105   printf("%hn", (int*)0); // expected-warning{{format specifies type 'short *' but the argument has type 'int *'}}
 106
 107   printf("%n", (int*)0); // no-warning
 108   printf("%n", (unsigned int*)0); // no-warning
 109   printf("%n", (char*)0); // expected-warning{{format specifies type 'int *' but the argument has type 'char *'}}
 110
 111   printf("%ln", (long*)0); // no-warning
 112   printf("%ln", (unsigned long*)0); // no-warning
 113   printf("%ln", (int*)0); // expected-warning{{format specifies type 'long *' but the argument has type 'int *'}}
 114
 115   printf("%lln", (long long*)0); // no-warning
 116   printf("%lln", (unsigned long long*)0); // no-warning
 117   printf("%lln", (int*)0); // expected-warning{{format specifies type 'long long *' but the argument has type 'int *'}}
 118
 119   printf("%qn", (long long*)0); // no-warning
 120   printf("%qn", (unsigned long long*)0); // no-warning
 121   printf("%qn", (int*)0); // expected-warning{{format specifies type 'long long *' but the argument has type 'int *'}}
 122
 123   printf("%Ln", 0); // expected-warning{{length modifier 'L' results in undefined behavior or no effect with 'n' conversion specifier}}
 124   // expected-note@-1{{did you mean to use 'll'?}}
 125 }
 126
 127 void check_invalid_specifier(FILE* fp, char *buf)
 128 {
 129   printf("%s%lb%d","unix",10,20); // expected-warning {{invalid conversion specifier 'b'}}
 130   fprintf(fp,"%%%l"); // expected-warning {{incomplete format specifier}}
 131   sprintf(buf,"%%%%%ld%d%d", 1, 2, 3); // expected-warning{{format specifies type 'long' but the argument has type 'int'}}
 132   snprintf(buf, 2, "%%%%%ld%;%d", 1, 2, 3); // expected-warning{{format specifies type 'long' but the argument has type 'int'}} expected-warning {{invalid conversion specifier ';'}}
 133 }
 134
 135 void check_null_char_string(char* b)
 136 {
 137   printf("\0this is bogus%d",1); // expected-warning {{string contains '\0'}}
 138   snprintf(b,10,"%%%%%d\0%d",1,2); // expected-warning {{string contains '\0'}}
 139   printf("%\0d",1); // expected-warning {{string contains '\0'}}
 140 }
 141
 142 void check_empty_format_string(char* buf, ...)
 143 {
 144   va_list ap;
 145   va_start(ap,buf);
 146   vprintf("",ap); // expected-warning {{format string is empty}}
 147   sprintf(buf, "", 1); // expected-warning {{format string is empty}}
 148
 149   // Don't warn about empty format strings when there are no data arguments.
 150   // This can arise from macro expansions and non-standard format string
 151   // functions.
 152   sprintf(buf, ""); // no-warning
 153 }
 154
 155 void check_wide_string(char* b, ...)
 156 {
 157   va_list ap;
 158   va_start(ap,b);
 159
 160   printf(L"foo %d",2); // expected-warning {{incompatible pointer types}}, expected-warning {{should not be a wide string}}
 161   vsprintf(b,L"bar %d",ap); // expected-warning {{incompatible pointer types}}, expected-warning {{should not be a wide string}}
 162 }
 163
 164 void check_asterisk_precision_width(int x) {
 165   printf("%*d"); // expected-warning {{'*' specified field width is missing a matching 'int' argument}}
 166   printf("%.*d"); // expected-warning {{'.*' specified field precision is missing a matching 'int' argument}}
 167   printf("%*d",12,x); // no-warning
 168   printf("%*d","foo",x); // expected-warning {{field width should have type 'int', but argument has type 'char *'}}
 169   printf("%.*d","foo",x); // expected-warning {{field precision should have type 'int', but argument has type 'char *'}}
 170 }
 171
 172 void __attribute__((format(printf,1,3))) myprintf(const char*, int blah, ...);
 173
 174 void test_myprintf() {
 175   myprintf("%d", 17, 18); // okay
 176 }
 177
 178 void test_constant_bindings(void) {
 179   const char * const s1 = "hello";
 180   const char s2[] = "hello";
 181   const char *s3 = "hello";
 182   char * const s4 = "hello";
 183   extern const char s5[];
 184
 185   printf(s1); // no-warning
 186   printf(s2); // no-warning
 187   printf(s3); // expected-warning{{not a string literal}}
 188   printf(s4); // expected-warning{{not a string literal}}
 189   printf(s5); // expected-warning{{not a string literal}}
 190 }
 191
 192
 193 // Test what happens when -Wformat-security only.
 194 #pragma GCC diagnostic ignored "-Wformat-nonliteral"
 195 #pragma GCC diagnostic warning "-Wformat-security"
 196
 197 void test9(char *P) {
 198   int x;
 199   printf(P);   // expected-warning {{format string is not a string literal (potentially insecure)}}
 200   printf(P, 42);
 201 }
 202
 203 void torture(va_list v8) {
 204   vprintf ("%*.*d", v8);  // no-warning
 205
 206 }
 207
 208 void test10(int x, float f, int i, long long lli) {
 209   printf("%s"); // expected-warning{{more '%' conversions than data arguments}}
 210   printf("%@", 12); // expected-warning{{invalid conversion specifier '@'}}
 211   printf("\0"); // expected-warning{{format string contains '\0' within the string body}}
 212   printf("xs\0"); // expected-warning{{format string contains '\0' within the string body}}
 213   printf("%*d\n"); // expected-warning{{'*' specified field width is missing a matching 'int' argument}}
 214   printf("%*.*d\n", x); // expected-warning{{'.*' specified field precision is missing a matching 'int' argument}}
 215   printf("%*d\n", f, x); // expected-warning{{field width should have type 'int', but argument has type 'double'}}
 216   printf("%*.*d\n", x, f, x); // expected-warning{{field precision should have type 'int', but argument has type 'double'}}
 217   printf("%**\n"); // expected-warning{{invalid conversion specifier '*'}}
 218   printf("%d%d\n", x); // expected-warning{{more '%' conversions than data arguments}}
 219   printf("%d\n", x, x); // expected-warning{{data argument not used by format string}}
 220   printf("%W%d\n", x, x); // expected-warning{{invalid conversion specifier 'W'}}
 221   printf("%"); // expected-warning{{incomplete format specifier}}
 222   printf("%.d", x); // no-warning
 223   printf("%.", x);  // expected-warning{{incomplete format specifier}}
 224   printf("%f", 4); // expected-warning{{format specifies type 'double' but the argument has type 'int'}}
 225   printf("%qd", lli); // no-warning
 226   printf("%qd", x); // expected-warning{{format specifies type 'long long' but the argument has type 'int'}}
 227   printf("%qp", (void *)0); // expected-warning{{length modifier 'q' results in undefined behavior or no effect with 'p' conversion specifier}}
 228   printf("hhX %hhX", (unsigned char)10); // no-warning
 229   printf("llX %llX", (long long) 10); // no-warning
 230   // This is fine, because there is an implicit conversion to an int.
 231   printf("%d", (unsigned char) 10); // no-warning
 232   printf("%d", (long long) 10); // expected-warning{{format specifies type 'int' but the argument has type 'long long'}}
 233   printf("%Lf\n", (long double) 1.0); // no-warning
 234   printf("%f\n", (long double) 1.0); // expected-warning{{format specifies type 'double' but the argument has type 'long double'}}
 235   // The man page says that a zero precision is okay.
 236   printf("%.0Lf", (long double) 1.0); // no-warning
 237   printf("%c\n", "x"); // expected-warning{{format specifies type 'int' but the argument has type 'char *'}}
 238   printf("%c\n", 1.23); // expected-warning{{format specifies type 'int' but the argument has type 'double'}}
 239   printf("Format %d, is %! %f", 1, 2, 4.4); // expected-warning{{invalid conversion specifier '!'}}
 240 }
 241
 242 typedef unsigned char uint8_t;
 243
 244 void should_understand_small_integers() {
 245   printf("%hhu", (short) 10); // expected-warning{{format specifies type 'unsigned char' but the argument has type 'short'}}
 246   printf("%hu\n", (unsigned char) 1); // expected-warning{{format specifies type 'unsigned short' but the argument has type 'unsigned char'}}
 247   printf("%hu\n", (uint8_t)1); // expected-warning{{format specifies type 'unsigned short' but the argument has type 'uint8_t'}}
 248 }
 249
 250 void test11(void *p, char *s) {
 251   printf("%p", p); // no-warning
 252   printf("%p", 123); // expected-warning{{format specifies type 'void *' but the argument has type 'int'}}
 253   printf("%.4p", p); // expected-warning{{precision used with 'p' conversion specifier, resulting in undefined behavior}}
 254   printf("%+p", p); // expected-warning{{flag '+' results in undefined behavior with 'p' conversion specifier}}
 255   printf("% p", p); // expected-warning{{flag ' ' results in undefined behavior with 'p' conversion specifier}}
 256   printf("%0p", p); // expected-warning{{flag '0' results in undefined behavior with 'p' conversion specifier}}
 257   printf("%s", s); // no-warning
 258   printf("%+s", p); // expected-warning{{flag '+' results in undefined behavior with 's' conversion specifier}}
 259   printf("% s", p); // expected-warning{{flag ' ' results in undefined behavior with 's' conversion specifier}}
 260   printf("%0s", p); // expected-warning{{flag '0' results in undefined behavior with 's' conversion specifier}}
 261 }
 262
 263 void test12(char *b) {
 264   unsigned char buf[4];
 265   printf ("%.4s\n", buf); // no-warning
 266   printf ("%.4s\n", &buf); // expected-warning{{format specifies type 'char *' but the argument has type 'unsigned char (*)[4]'}}
 267
 268   // Verify that we are checking asprintf
 269   asprintf(&b, "%d", "asprintf"); // expected-warning{{format specifies type 'int' but the argument has type 'char *'}}
 270 }
 271
 272 void test13(short x) {
 273   char bel = 007;
 274   printf("bel: '0%hhd'\n", bel); // no-warning
 275   printf("x: '0%hhd'\n", x); // expected-warning {{format specifies type 'char' but the argument has type 'short'}}
 276 }
 277
 278 typedef struct __aslclient *aslclient;
 279 typedef struct __aslmsg *aslmsg;
 280 int asl_log(aslclient asl, aslmsg msg, int level, const char *format, ...) __attribute__((__format__ (__printf__, 4, 5)));
 281 void test_asl(aslclient asl) {
 282   // Test case from <rdar://problem/7341605>.
 283   asl_log(asl, 0, 3, "Error: %m"); // no-warning
 284   asl_log(asl, 0, 3, "Error: %W"); // expected-warning{{invalid conversion specifier 'W'}}
 285 }
 286
 287 // <rdar://problem/7595366>
 288 typedef enum { A } int_t;
 289 void f0(int_t x) { printf("%d\n", x); }
 290
 291 // Unicode test cases.  These are possibly specific to Mac OS X.  If so, they should
 292 // eventually be moved into a separate test.
 293
 294 void test_unicode_conversions(wchar_t *s) {
 295   printf("%S", s); // no-warning
 296   printf("%s", s); // expected-warning{{format specifies type 'char *' but the argument has type 'wchar_t *'}}
 297   printf("%C", s[0]); // no-warning
 298   printf("%c", s[0]);
 299   // FIXME: This test reports inconsistent results. On Windows, '%C' expects
 300   // 'unsigned short'.
 301   // printf("%C", 10);
 302   printf("%S", "hello"); // expected-warning{{but the argument has type 'char *'}}
 303 }
 304
 305 // Mac OS X supports positional arguments in format strings.
 306 // This is an IEEE extension (IEEE Std 1003.1).
 307 // FIXME: This is probably not portable everywhere.
 308 void test_positional_arguments() {
 309   printf("%0$", (int)2); // expected-warning{{position arguments in format strings start counting at 1 (not 0)}}
 310   printf("%1$*0$d", (int) 2); // expected-warning{{position arguments in format strings start counting at 1 (not 0)}}
 311   printf("%1$d", (int) 2); // no-warning
 312   printf("%1$d", (int) 2, 2); // expected-warning{{data argument not used by format string}}
 313   printf("%1$d%1$f", (int) 2); // expected-warning{{format specifies type 'double' but the argument has type 'int'}}
 314   printf("%1$2.2d", (int) 2); // no-warning
 315   printf("%2$*1$.2d", (int) 2, (int) 3); // no-warning
 316   printf("%2$*8$d", (int) 2, (int) 3); // expected-warning{{specified field width is missing a matching 'int' argument}}
 317   printf("%%%1$d", (int) 2); // no-warning
 318   printf("%1$d%%", (int) 2); // no-warning
 319 }
 320
 321 // PR 6697 - Handle format strings where the data argument is not adjacent to the format string
 322 void myprintf_PR_6697(const char *format, int x, ...) __attribute__((__format__(printf,1, 3)));
 323 void test_pr_6697() {
 324   myprintf_PR_6697("%s\n", 1, "foo"); // no-warning
 325   myprintf_PR_6697("%s\n", 1, (int)0); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 326   // FIXME: Not everything should clearly support positional arguments,
 327   // but we need a way to identify those cases.
 328   myprintf_PR_6697("%1$s\n", 1, "foo"); // no-warning
 329   myprintf_PR_6697("%2$s\n", 1, "foo"); // expected-warning{{data argument position '2' exceeds the number of data arguments (1)}}
 330   myprintf_PR_6697("%18$s\n", 1, "foo"); // expected-warning{{data argument position '18' exceeds the number of data arguments (1)}}
 331   myprintf_PR_6697("%1$s\n", 1, (int) 0); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 332 }
 333
 334 void rdar8026030(FILE *fp) {
 335   fprintf(fp, "\%"); // expected-warning{{incomplete format specifier}}
 336 }
 337
 338 void bug7377_bad_length_mod_usage() {
 339   // Bad length modifiers
 340   printf("%hhs", "foo"); // expected-warning{{length modifier 'hh' results in undefined behavior or no effect with 's' conversion specifier}}
 341   printf("%1$zp", (void *)0); // expected-warning{{length modifier 'z' results in undefined behavior or no effect with 'p' conversion specifier}}
 342   printf("%ls", L"foo"); // no-warning
 343   printf("%#.2Lf", (long double)1.234); // no-warning
 344
 345   // Bad flag usage
 346   printf("%#p", (void *) 0); // expected-warning{{flag '#' results in undefined behavior with 'p' conversion specifier}}
 347   printf("%0d", -1); // no-warning
 348   printf("%#n", (int *) 0); // expected-warning{{flag '#' results in undefined behavior with 'n' conversion specifier}}
 349   printf("%-n", (int *) 0); // expected-warning{{flag '-' results in undefined behavior with 'n' conversion specifier}}
 350   printf("%-p", (void *) 0); // no-warning
 351
 352   // Bad optional amount use
 353   printf("%.2c", 'a'); // expected-warning{{precision used with 'c' conversion specifier, resulting in undefined behavior}}
 354   printf("%1n", (int *) 0); // expected-warning{{field width used with 'n' conversion specifier, resulting in undefined behavior}}
 355   printf("%.9n", (int *) 0); // expected-warning{{precision used with 'n' conversion specifier, resulting in undefined behavior}}
 356
 357   // Ignored flags
 358   printf("% +f", 1.23); // expected-warning{{flag ' ' is ignored when flag '+' is present}}
 359   printf("%+ f", 1.23); // expected-warning{{flag ' ' is ignored when flag '+' is present}}
 360   printf("%0-f", 1.23); // expected-warning{{flag '0' is ignored when flag '-' is present}}
 361   printf("%-0f", 1.23); // expected-warning{{flag '0' is ignored when flag '-' is present}}
 362   printf("%-+f", 1.23); // no-warning
 363 }
 364
 365 // PR 7981 - handle '%lc' (wint_t)
 366
 367 void pr7981(wint_t c, wchar_t c2) {
 368   printf("%lc", c); // no-warning
 369   printf("%lc", 1.0); // expected-warning{{the argument has type 'double'}}
 370   printf("%lc", (char) 1); // no-warning
 371   printf("%lc", &c); // expected-warning{{the argument has type 'wint_t *'}}
 372   // If wint_t and wchar_t are the same width and wint_t is signed where
 373   // wchar_t is unsigned, an implicit conversion isn't possible.
 374 #if defined(__WINT_UNSIGNED__) || !defined(__WCHAR_UNSIGNED__) ||   \
 375   __WINT_WIDTH__ > __WCHAR_WIDTH__
 376   printf("%lc", c2); // no-warning
 377 #endif
 378 }
 379
 380 // <rdar://problem/8269537> -Wformat-security says NULL is not a string literal
 381 void rdar8269537() {
 382   // This is likely to crash in most cases, but -Wformat-nonliteral technically
 383   // doesn't warn in this case.
 384   printf(0); // no-warning
 385 }
 386
 387 // Handle functions with multiple format attributes.
 388 extern void rdar8332221_vprintf_scanf(const char *, va_list, const char *, ...)
 389      __attribute__((__format__(__printf__, 1, 0)))
 390      __attribute__((__format__(__scanf__, 3, 4)));
 391
 392 void rdar8332221(va_list ap, int *x, long *y) {
 393   rdar8332221_vprintf_scanf("%", ap, "%d", x); // expected-warning{{incomplete format specifier}}
 394 }
 395
 396 // PR8641
 397 void pr8641() {
 398   printf("%#x\n", 10);
 399   printf("%#X\n", 10);
 400 }
 401
 402 void posix_extensions() {
 403   // Test %'d, "thousands grouping".
 404   // <rdar://problem/8816343>
 405   printf("%'d\n", 123456789); // no-warning
 406   printf("%'i\n", 123456789); // no-warning
 407   printf("%'f\n", (float) 1.0); // no-warning
 408   printf("%'p\n", (void*) 0); // expected-warning{{results in undefined behavior with 'p' conversion specifier}}
 409 }
 410
 411 // PR8486
 412 //
 413 // Test what happens when -Wformat is on, but -Wformat-security is off.
 414 #pragma GCC diagnostic warning "-Wformat"
 415 #pragma GCC diagnostic ignored "-Wformat-security"
 416
 417 void pr8486() {
 418   printf("%s", 1); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 419 }
 420
 421 // PR9314
 422 // Don't warn about string literals that are PreDefinedExprs, e.g. __func__.
 423 void pr9314() {
 424   printf(__PRETTY_FUNCTION__); // no-warning
 425   printf(__func__); // no-warning
 426 }
 427
 428 int printf(const char * restrict, ...) __attribute__((__format__ (__printf__, 1, 2)));
 429
 430 void rdar9612060(void) {
 431   printf("%s", 2); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 432 }
 433
 434 void check_char(unsigned char x, signed char y) {
 435   printf("%c", y); // no-warning
 436   printf("%hhu", x); // no-warning
 437   printf("%hhi", y); // no-warning
 438   printf("%hhi", x); // no-warning
 439   printf("%c", x); // no-warning
 440   printf("%hhu", y); // no-warning
 441 }
 442
 443 // Test suppression of individual warnings.
 444
 445 void test_suppress_invalid_specifier() {
 446 #pragma clang diagnostic push
 447 #pragma clang diagnostic ignored "-Wformat-invalid-specifier"
 448   printf("%@", 12); // no-warning
 449 #pragma clang diagnostic pop
 450 }
 451
 452 // Make sure warnings are on for next test.
 453 #pragma GCC diagnostic warning "-Wformat"
 454 #pragma GCC diagnostic warning "-Wformat-security"
 455
 456 // Test that the printf call site is where the warning is attached.  If the
 457 // format string is somewhere else, point to it in a note.
 458 void pr9751() {
 459   const char kFormat1[] = "%d %d \n"; // expected-note{{format string is defined here}}}
 460   printf(kFormat1, 0); // expected-warning{{more '%' conversions than data arguments}}
 461   printf("%d %s\n", 0); // expected-warning{{more '%' conversions than data arguments}}
 462
 463   const char kFormat2[] = "%18$s\n"; // expected-note{{format string is defined here}}
 464   printf(kFormat2, 1, "foo"); // expected-warning{{data argument position '18' exceeds the number of data arguments (2)}}
 465   printf("%18$s\n", 1, "foo"); // expected-warning{{data argument position '18' exceeds the number of data arguments (2)}}
 466
 467   const char kFormat4[] = "%y"; // expected-note{{format string is defined here}}
 468   printf(kFormat4, 5); // expected-warning{{invalid conversion specifier 'y'}}
 469   printf("%y", 5); // expected-warning{{invalid conversion specifier 'y'}}
 470
 471   const char kFormat5[] = "%."; // expected-note{{format string is defined here}}
 472   printf(kFormat5, 5); // expected-warning{{incomplete format specifier}}
 473   printf("%.", 5); // expected-warning{{incomplete format specifier}}
 474
 475   const char kFormat6[] = "%s"; // expected-note{{format string is defined here}}
 476   printf(kFormat6, 5); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 477   printf("%s", 5); // expected-warning{{format specifies type 'char *' but the argument has type 'int'}}
 478
 479   const char kFormat7[] = "%0$"; // expected-note{{format string is defined here}}
 480   printf(kFormat7, 5); // expected-warning{{position arguments in format strings start counting at 1 (not 0)}}
 481   printf("%0$", 5); // expected-warning{{position arguments in format strings start counting at 1 (not 0)}}
 482
 483   const char kFormat8[] = "%1$d %d"; // expected-note{{format string is defined here}}
 484   printf(kFormat8, 4, 4); // expected-warning{{cannot mix positional and non-positional arguments in format string}}
 485   printf("%1$d %d", 4, 4); // expected-warning{{cannot mix positional and non-positional arguments in format string}}
 486
 487   const char kFormat9[] = ""; // expected-note{{format string is defined here}}
 488   printf(kFormat9, 4, 4); // expected-warning{{format string is empty}}
 489   printf("", 4, 4); // expected-warning{{format string is empty}}
 490
 491   const char kFormat10[] = "\0%d"; // expected-note{{format string is defined here}}
 492   printf(kFormat10, 4); // expected-warning{{format string contains '\0' within the string body}}
 493   printf("\0%d", 4); // expected-warning{{format string contains '\0' within the string body}}
 494
 495   const char kFormat11[] = "%*d"; // expected-note{{format string is defined here}}
 496   printf(kFormat11); // expected-warning{{'*' specified field width is missing a matching 'int' argument}}
 497   printf("%*d"); // expected-warning{{'*' specified field width is missing a matching 'int' argument}}
 498
 499   const char kFormat12[] = "%*d"; // expected-note{{format string is defined here}}
 500   printf(kFormat12, 4.4); // expected-warning{{field width should have type 'int', but argument has type 'double'}}
 501   printf("%*d", 4.4); // expected-warning{{field width should have type 'int', but argument has type 'double'}}
 502
 503   const char kFormat13[] = "%.3p"; // expected-note{{format string is defined here}}
 504   void *p;
 505   printf(kFormat13, p); // expected-warning{{precision used with 'p' conversion specifier, resulting in undefined behavior}}
 506   printf("%.3p", p); // expected-warning{{precision used with 'p' conversion specifier, resulting in undefined behavior}}
 507
 508   const char kFormat14[] = "%0s"; // expected-note{{format string is defined here}}
 509   printf(kFormat14, "a"); // expected-warning{{flag '0' results in undefined behavior with 's' conversion specifier}}
 510   printf("%0s", "a"); // expected-warning{{flag '0' results in undefined behavior with 's' conversion specifier}}
 511
 512   const char kFormat15[] = "%hhs"; // expected-note{{format string is defined here}}
 513   printf(kFormat15, "a"); // expected-warning{{length modifier 'hh' results in undefined behavior or no effect with 's' conversion specifier}}
 514   printf("%hhs", "a"); // expected-warning{{length modifier 'hh' results in undefined behavior or no effect with 's' conversion specifier}}
 515
 516   const char kFormat16[] = "%-0d"; // expected-note{{format string is defined here}}
 517   printf(kFormat16, 5); // expected-warning{{flag '0' is ignored when flag '-' is present}}
 518   printf("%-0d", 5); // expected-warning{{flag '0' is ignored when flag '-' is present}}
 519
 520   // Make sure that the "format string is defined here" note is not emitted
 521   // when the original string is within the argument expression.
 522   printf(1 ? "yes %d" : "no %d"); // expected-warning 2{{more '%' conversions than data arguments}}
 523
 524   const char kFormat17[] = "%hu"; // expected-note{{format string is defined here}}}
 525   printf(kFormat17, (int[]){0}); // expected-warning{{format specifies type 'unsigned short' but the argument}}
 526
 527   printf("%a", (long double)0); // expected-warning{{format specifies type 'double' but the argument has type 'long double'}}
 528
 529   // Test braced char[] initializers.
 530   const char kFormat18[] = { "%lld" }; // expected-note{{format string is defined here}}
 531   printf(kFormat18, 0); // expected-warning{{format specifies type}}
 532
 533   // Make sure we point at the offending argument rather than the format string.
 534   const char kFormat19[] = "%d";  // expected-note{{format string is defined here}}
 535   printf(kFormat19,
 536          0.0); // expected-warning{{format specifies}}
 537 }
 538
 539 void pr18905() {
 540   const char s1[] = "s\0%s"; // expected-note{{format string is defined here}}
 541   const char s2[1] = "s"; // expected-note{{format string is defined here}}
 542   const char s3[2] = "s\0%s"; // expected-warning{{initializer-string for char array is too long}}
 543   const char s4[10] = "s";
 544   const char s5[0] = "%s"; // expected-warning{{initializer-string for char array is too long}}
 545                            // expected-note@-1{{format string is defined here}}
 546
 547   printf(s1); // expected-warning{{format string contains '\0' within the string body}}
 548   printf(s2); // expected-warning{{format string is not null-terminated}}
 549   printf(s3); // no-warning
 550   printf(s4); // no-warning
 551   printf(s5); // expected-warning{{format string is not null-terminated}}
 552 }
 553
 554 void __attribute__((format(strfmon,1,2))) monformat(const char *fmt, ...);
 555 void __attribute__((format(strftime,1,0))) dateformat(const char *fmt);
 556
 557 // Other formats
 558 void test_other_formats() {
 559   char *str = "";
 560   monformat("", 1); // expected-warning{{format string is empty}}
 561   monformat(str); // expected-warning{{format string is not a string literal (potentially insecure)}}
 562   dateformat(""); // expected-warning{{format string is empty}}
 563   dateformat(str); // no-warning (using strftime non-literal is not unsafe)
 564 }
 565
 566 // Do not warn about unused arguments coming from system headers.
 567 // <rdar://problem/11317765>
 568 #include <format-unused-system-args.h>
 569 void test_unused_system_args(int x) {
 570   PRINT1("%d\n", x); // no-warning{{extra argument is system header is OK}}
 571 }
 572
 573 void pr12761(char c) {
 574   // This should not warn even with -fno-signed-char.
 575   printf("%hhx", c);
 576 }
 577
 578
 579 // Test that we correctly merge the format in both orders.
 580 extern void test14_foo(const char *, const char *, ...)
 581      __attribute__((__format__(__printf__, 1, 3)));
 582 extern void test14_foo(const char *, const char *, ...)
 583      __attribute__((__format__(__scanf__, 2, 3)));
 584
 585 extern void test14_bar(const char *, const char *, ...)
 586      __attribute__((__format__(__scanf__, 2, 3)));
 587 extern void test14_bar(const char *, const char *, ...)
 588      __attribute__((__format__(__printf__, 1, 3)));
 589
 590 void test14_zed(int *p) {
 591   test14_foo("%", "%d", p); // expected-warning{{incomplete format specifier}}
 592   test14_bar("%", "%d", p); // expected-warning{{incomplete format specifier}}
 593 }
 594
 595 void test_qualifiers(volatile int *vip, const int *cip,
 596                      const volatile int *cvip) {
 597   printf("%n", cip); // expected-warning{{format specifies type 'int *' but the argument has type 'const int *'}}
 598   printf("%n", cvip); // expected-warning{{format specifies type 'int *' but the argument has type 'const volatile int *'}}
 599
 600   printf("%n", vip); // No warning.
 601   printf("%p", cip); // No warning.
 602   printf("%p", cvip); // No warning.
 603
 604
 605   typedef int* ip_t;
 606   typedef const int* cip_t;
 607   printf("%n", (ip_t)0); // No warning.
 608   printf("%n", (cip_t)0); // expected-warning{{format specifies type 'int *' but the argument has type 'cip_t' (aka 'const int *')}}
 609 }
 610
 611 #pragma GCC diagnostic ignored "-Wformat-nonliteral"
 612 #pragma GCC diagnostic warning "-Wformat-security"
 613 // <rdar://problem/14178260>
 614 extern void test_format_security_extra_args(const char*, int, ...)
 615     __attribute__((__format__(__printf__, 1, 3)));
 616 void test_format_security_pos(char* string) {
 617   test_format_security_extra_args(string, 5); // expected-warning {{format string is not a string literal (potentially insecure)}}
 618 }
 619 #pragma GCC diagnostic warning "-Wformat-nonliteral"