在 GCC 或 Clang 编译器中，添加 -fstack-protector-strong 选项是开启 C++ 栈保护防止缓冲区溢出攻击的最推荐做法。该配置适用于 Linux/Unix 环境下的生产构建，主要风险边界在于极少数内联汇编代码可能不兼容，但不会导致功能逻辑错误。
先说结论：生产环境构建 C++ 项目时，应优先启用 -fstack-protector-strong 选项，它在保护范围和性能开销之间取得了最佳平衡。
- 先判断：确认编译器版本支持该标志，GCC 4.9+ 和 Clang 3.5+ 均默认支持。
- 优先做：在构建系统（CMake/Makefile）中统一添加编译 flag，避免遗漏个别文件。
- 再验证：编译完成后使用 readelf 检查二进制文件是否包含 __stack_chk_fail 符号。
命令速用版
直接在命令行编译单个文件时，使用以下命令开启栈保护：
g++ -fstack-protector-strong main.cpp -o main如果使用 Clang 编译器，命令格式相同：
clang++ -fstack-protector-strong main.cpp -o main为什么会这样
栈保护机制通过在函数栈帧中插入随机 Canaries 值来检测缓冲区溢出。编译器在函数返回前检查该值是否被修改，若发现变化则终止程序以防止控制流被劫持。
开启该选项不会修复代码中的溢出漏洞，但能将潜在的远程代码执行风险转化为可控的程序崩溃，为修复争取时间。
分步处理
根据构建系统不同，配置方式有所区别，请按需选择：
1. CMake 项目配置
在 CMakeLists.txt 中添加以下行，确保作用于所有目标：
add_compile_options(-fstack-protector-strong)2. Makefile 项目配置
在 CXXFLAGS 变量中追加标志：
CXXFLAGS += -fstack-protector-strong3. 现有构建脚本检查
检查是否有地方显式禁用了保护，如 -fno-stack-protector，若有则移除该禁止项。
怎么验证是否生效
编译完成后，使用 readelf 工具检查生成的二进制文件是否包含栈保护检查函数符号：
readelf -s main | grep __stack_chk_fail如果输出中包含 __stack_chk_fail 符号，说明栈保护已成功链接并生效。若使用 objdump，也可反汇编查看函数末尾是否有检查调用。
常见坑
1. 内联汇编兼容性
极少数手写内联汇编代码可能假设了特定的栈布局，开启保护后可能导致编译错误或运行时异常，需审查 asm 块。
2. 性能开销误解
公开资料中没有看到可靠的量化数据表明该选项会显著影响性能，通常开销在百分之一以内，但在极端高频调用场景需实测。
3. 混合编译环境
确保所有目标文件都使用相同保护级别，避免部分文件无保护导致整体安全性下降。
常见问题
Windows 下 MSVC 编译器怎么开启？
MSVC 默认开启 /GS 选项，相当于 GCC 的栈保护，无需额外配置，可在项目属性中确认安全检查选项状态。
开启栈保护能防止所有缓冲区溢出吗？
不能，它主要保护栈上的返回地址，堆溢出或全局变量溢出不在保护范围内，仍需配合地址随机化等其他措施。
会影响程序运行速度吗？
会有轻微影响，因为每个受保护函数都增加了检查指令，但公开资料中没有看到可靠的量化数据证明其对大多数应用不可接受。
参考来源
GCC Online Documentation: Stack Protector Options https://gcc.gnu.org/onlinedocs/gcc/Stack-Protector-Options.html
Clang LLVM Documentation: Command Guide https://clang.llvm.org/docs/CommandGuide/clang.html