菜单
在编写、修改或评审 C 代码（.c 源文件、.h 头文件、C 单元测试、C ABI 边界）时使用。提供指针所有权、手动内存与资源释放、缓冲区容量、整数转换、宏、头文件、错误返回的具体规则与正反例。只适用于 C 语言；其他语言或 C++ 代码使用对应语言自己的 coding-standards 技能。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
在规格、设计、测试或代码需要独立评审时使用：阶段产物完成后的把关、人要求 review、或对既有产物做专项检查时。评审必须由作者之外的独立上下文执行，产出 findings 与 verdict。
在实现任何功能或修复任何缺陷、即将编写实现代码时使用；设计确认后的整个实现期都适用。强制测试先行的 RED→GREEN→REFACTOR 循环。不用于规格编写、设计决策或纯文档修改。
在车载软件工作项（ECU、域控、车载服务、整车平台）的规格、设计、实现或评审中使用，涉及功能安全/ASIL、车载 SOA 服务、DTC/诊断、整车启动/休眠/唤醒、SELinux 或跨 ECU 协同时。只承载车载专属约束；内存/实时性、通用服务接口或其他相邻领域规则由命中 description 的领域技能叠加，语言级规则见适用 `<language>-coding-standards`。
在后端/服务端工作项（HTTP/REST/GraphQL API、服务与仓库层、数据库访问、缓存、鉴权、限流、后台任务、可观测性、配置与机密、弹性容错、生产就绪）的规格、设计、实现或评审中使用，涉及接口契约、分层与依赖方向、配置与机密、错误模型、数据一致性、幂等、认证授权、依赖超时重试熔断、过载保护、优雅停机时。只承载服务端/API 领域约束；客户端/UI、行业专属服务或其他相邻领域规则由命中 description 的领域技能叠加，语言级规则见适用 `<language>-coding-standards`。
在需要为某种编程语言新建或修订 coding-standards 技能时使用：把团队内部编码规范文档转化为符合 DevFlow 形态的 <language>-coding-standards 技能，或把新的团队规则并入既有语言技能。不用于编写业务代码或直接做代码评审。
在编写、修改或评审 C++ 代码（.cpp/.cc/.hpp、类、模板、RAII、智能指针、C++ 测试、C++ ABI 边界）时使用。提供资源管理、所有权签名、类设计、错误策略、模板纪律与 ABI 的具体规则与正反例。只适用于 C++；C 或其他语言代码使用对应语言自己的 coding-standards 技能。
| name | c-coding-standards |
| description | 在编写、修改或评审 C 代码（.c 源文件、.h 头文件、C 单元测试、C ABI 边界）时使用。提供指针所有权、手动内存与资源释放、缓冲区容量、整数转换、宏、头文件、错误返回的具体规则与正反例。只适用于 C 语言；其他语言或 C++ 代码使用对应语言自己的 coding-standards 技能。 |
C 给了你足够的绳子。本技能在 devflow-clean-code 的通用标准之上叠加 C 的语言规则，不能替代通用 clean-code 自检；每条规则针对一类真实事故（越界、悬垂、泄漏、未定义行为）。项目声明了 MISRA C / CERT C 子集时以项目为准，本文是未声明时的默认底线。
每个跨函数边界的指针必须能回答：谁拥有它、它活多久、能否为 NULL。约定写进签名和头文件注释：
/* 返回的指针由调用方负责 free */
char *config_dump_alloc(const config_t *cfg);
/* 返回内部静态存储的指针：只读、下次调用前有效、不得 free */
const char *err_to_str(int err);
/* item 的所有权转移给队列：入队成功后调用方不得再访问 */
int queue_push_owned(queue_t *q, item_t *item);
/* buf 由调用方提供并保证在调用期间有效（借用） */
int frame_parse(const uint8_t *buf, size_t len, frame_t *out);
规则：
void * 的强转必须紧邻校验（魔数/类型 tag），跨模块传 void *ctx 时注册方与回调方必须是同一约定的两端malloc/open/lock 出现时，先写它的释放路径再写中间逻辑。多资源获取用集中清理出口（goto cleanup 模式，完整示例见 devflow-clean-code 的重构目录 §8）：获取顺序与释放顺序相反，失败跳到对应标签。malloc 返回必须检查；分配大小用 sizeof(*p) 而不是 sizeof(type)（类型改名时不会悄悄错）：mode_entry_t *e = malloc(sizeof(*e)); /* ✅ */
mode_entry_t *e = malloc(sizeof(mode_entry_t *)); /* ❌ 经典事故：分配了指针大小 */
xxx_create/xxx_destroy，destroy 负责全部深层释放且可安全接受 NULLsnprintf，并检查返回值是否 ≥ 容量（截断检测）：/* ❌ strcpy/strcat/sprintf 进入新代码 = critical */
sprintf(path, "%s/%s", dir, name);
/* ✅ */
int n = snprintf(path, sizeof(path), "%s/%s", dir, name);
if (n < 0 || (size_t)n >= sizeof(path)) return ERR_NAME_TOO_LONG;
memcpy 的 len 来自外部输入时，先校验 len ≤ 目标容量再拷贝；协议解析中"先读长度字段再按它拷贝"是最高危路径，必须有显式上界检查sizeof(arr)/sizeof(arr[0])（或项目的 ARRAY_SIZE 宏），不要手写常数size_t；协议与寄存器字段用定宽类型（uint8_t/uint32_t），不用裸 int/long 承载有格式要求的数据if (len - 1 > 0) 在 len==0 且 len 为无符号时恒真。减法前先确认不下溢：if (len > 0 && idx < len - 1) 或改写为加法 idx + 1 < lenmalloc(n * size) 在 n 来自外部时先检查 n <= MAX / size，或用 calloc1u << bit；移位量必须小于位宽能不用宏就不用：常量用 enum 或 static const，短函数用 static inline。必须用宏时：
/* ❌ 多次求值：max(x++, y) 让 x 加了两次 */
#define MAX(a, b) ((a) > (b) ? (a) : (b))
/* ✅ 改用 static inline——有类型检查、可下断点、无求值陷阱 */
static inline int32_t max_i32(int32_t a, int32_t b) { return a > b ? a : b; }
do { ... } while (0)#if 0 不是注释手段（删）static 留在 .c；内部结构体用不透明指针隐藏：/* public.h —— 调用方只见句柄，结构体布局可自由演进 */
typedef struct mode_service mode_service_t;
mode_service_t *mode_service_create(const mode_config_t *cfg);
/* internal .c 里才有 struct mode_service { ... }; */
static 函数实现（static inline 的小函数除外）devflow-clean-code §错误处理）；本技能补充 C 特有项：
snprintf/read/write 的部分成功（短写）要处理const T *；查表数据 → static const（进只读段，嵌入式省 RAM）static 的文件内符号都 static（链接期命名空间卫生）-Wall -Wextra，项目允许时 -Werror；新增告警按 critical 处理sizeof(*p)；create/destroy 成对