sota-c-cpp

该技能为 Claude 编写或审计生产级 C/C++ 提供专家级规则，分两种使用模式。BUILD 模式生成新代码时，把规则作为默认而非建议：优先 C++ 的 RAII 而非裸 C 写法，除非目标就是 C；偏离规则需写注释说明理由。开始前先读与任务相关的 rules 文件，例如解析不可信字节需读 02、03、04，多线程服务需读 05。新项目建议用 CMake（≥3.20）、-Wall -Wextra -Wpedantic，CI 中用 -Werror，接入 OpenSSF 加固标志、ASan+UBSan 调试构建、clang-tidy 与 clang-format，并从第一天起在 CI 中运行。AUDIT 模式按各 rules 文件的审计清单检查目标，运行清单中的 grep、clang-tidy、sanitizer 命令并人工确认命中（grep 偏向召回）；可行时以 -fsanitize=address,undefined 构建并跑测试套件，sanitizer 中止即为确证。发现按严重级别分组，CRITICAL 在前：CRITICAL 为可触达输入上的可利用内存破坏或必然 UB，如堆/栈溢出、释放后使用、双重释放、越界写、用户可控格式串、system() 拼接输入、指针数据竞争；HIGH 为可能破坏、崩溃或弱化安全；MEDIUM 为正确性/可维护性隐患；LOW 为惯用法/性能债；INFO 为风格与卫生。报告格式包含严重级别、文件行号、标题、规则章节引用、逐字证据、影响、修复与工作量。规则索引覆盖：idioms（RAII、所有权、值语义、const/constexpr、转换、错误处理等）、memory-safety（边界、生命周期、悬垂引用与视图、迭代器失效、sanitizer 与加固宏）、undefined-behavior（整数溢出、严格别名、未初始化读取、C++26 错误行为与契约的定位、UBSan）、security（CERT/MISRA、禁用函数、溢出到分配、格式串、路径遍历与 TOCTOU、命令注入、SSRF、正则控制、反序列化、动态代码求值、CSPRNG、密钥擦除、OpenSSF 加固标志、Windows 加固）、concurrency（内存模型、原子与内存序、锁与死锁、条件变量、jthread 与 stop token、TSan）、build-tooling-ci（CMake 卫生、方言固定、警告与静态分析、sanitizer CI 矩阵、模糊测试、依赖与供应链）、performance（剖析、分配、缓存局部性、LTO/PGO、微基准陷阱）。该技能也覆盖嵌入式语言层标准（MISRA C:2025 / C++:2023、SEI CERT、禁用异常的自由式构建、禁用 API 与加固标志），但不覆盖中断服务程序与可重入、DMA 缓冲一致性、内存映射 I/O 与 volatile 语义、RTOS 调度与优先级反转、WCET 与时间分析、链接脚本与启动代码等系统层，任务涉及这些时应明确说明。资料未提供价格、安装命令或平台信息。