format string

基本释义

本义指在计算机编程中，一个包含特殊占位符（如 %s、%d 或 {}）的字符串，这些占位符在运行时会被实际值替换，从而生成格式化的输出。引申义可指任何预定义模板，用于生成具有特定格式的文本，如日志模板、报表模板等。在安全领域，'format string' 特指一种漏洞类型，当用户输入被直接用作格式字符串时可能导致信息泄露或代码执行。

常见语境

主要用于计算机科学相关领域，如编程文档、技术博客、学术论文（如软件工程、网络安全）以及开发者之间的讨论。在日常对话中很少使用，除非是谈论编程话题。在技术文档中，语气客观、精确；在安全报告中，则着重强调其风险。

语法提示

通常作为名词短语使用，可作主语、宾语或定语。常见句型：'The function takes a format string.' 'Pass the format string as the first argument.' 易错点：不要与 'string format' 混淆，后者通常指字符串的格式化方法。在编程中，注意占位符的语法随语言而异。

同义词区别

与 'template string' 相近，但 'template string' 更常用于现代编程语言（如 JavaScript 的模板字面量），而 'format string' 更传统，常用于 C 语言的 printf 家族。与 'pattern' 不同，'pattern' 通常指正则表达式等匹配模式，而 'format string' 是用于输出的。

常见误区

属于专业术语，语域较高，只应在技术语境中使用。无褒贬色彩，但在安全语境中可能带有负面含义。常见误用是将 'format string' 与 'formatted string' 混淆，后者指已经格式化完成的字符串。另外，不要将其缩写为 'fmt string' 除非在极简代码注释中。

搭配用法

• format string vulnerability
• format string attack
• format string specifier
• format string parameter
• format string placeholder
• format string error

实用例句

In C, the printf function takes a format string as its first parameter.

The error message contains a format string vulnerability, allowing attackers to read arbitrary memory.

You can use placeholders like %s and %d in the format string to insert values.

The log formatter expects a format string that includes timestamps and log levels.

Avoid using user input as a format string, as it can lead to format string attacks.