pango/opentype/hb-open-type-private.hh

   1 /*
   2  * Copyright (C) 2007,2008,2009,2010  Red Hat, Inc.
   3  *
   4  *  This is part of HarfBuzz, an OpenType Layout engine library.
   5  *
   6  * Permission is hereby granted, without written agreement and without
   7  * license or royalty fees, to use, copy, modify, and distribute this
   8  * software and its documentation for any purpose, provided that the
   9  * above copyright notice and the following two paragraphs appear in
  10  * all copies of this software.
  11  *
  12  * IN NO EVENT SHALL THE COPYRIGHT HOLDER BE LIABLE TO ANY PARTY FOR
  13  * DIRECT, INDIRECT, SPECIAL, INCIDENTAL, OR CONSEQUENTIAL DAMAGES
  14  * ARISING OUT OF THE USE OF THIS SOFTWARE AND ITS DOCUMENTATION, EVEN
  15  * IF THE COPYRIGHT HOLDER HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH
  16  * DAMAGE.
  17  *
  18  * THE COPYRIGHT HOLDER SPECIFICALLY DISCLAIMS ANY WARRANTIES, INCLUDING,
  19  * BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND
  20  * FITNESS FOR A PARTICULAR PURPOSE.  THE SOFTWARE PROVIDED HEREUNDER IS
  21  * ON AN "AS IS" BASIS, AND THE COPYRIGHT HOLDER HAS NO OBLIGATION TO
  22  * PROVIDE MAINTENANCE, SUPPORT, UPDATES, ENHANCEMENTS, OR MODIFICATIONS.
  23  *
  24  * Red Hat Author(s): Behdad Esfahbod
  25  */
  26
  27 #ifndef HB_OPEN_TYPES_PRIVATE_HH
  28 #define HB_OPEN_TYPES_PRIVATE_HH
  29
  30 #include "hb-private.h"
  31
  32 #include "hb-blob.h"
  33
  34
  35 #define NO_INDEX                ((unsigned int) 0xFFFF)
  36
  37
  38 /*
  39  * Casts
  40  */
  41
  42 #define CONST_CHARP(X)          (reinterpret_cast<const char *>(X))
  43 #define DECONST_CHARP(X)        ((char *)reinterpret_cast<const char *>(X))
  44 #define CHARP(X)                (reinterpret_cast<char *>(X))
  45
  46 #define CONST_CAST(T,X,Ofs)     (*(reinterpret_cast<const T *>(CONST_CHARP(&(X)) + Ofs)))
  47 #define DECONST_CAST(T,X,Ofs)   (*(reinterpret_cast<T *>((char *)CONST_CHARP(&(X)) + Ofs)))
  48 #define CAST(T,X,Ofs)           (*(reinterpret_cast<T *>(CHARP(&(X)) + Ofs)))
  49
  50 #define CONST_NEXT(T,X)         (*(reinterpret_cast<const T *>(CONST_CHARP(&(X)) + (X).get_size ())))
  51 #define NEXT(T,X)               (*(reinterpret_cast<T *>(CHARP(&(X)) + (X).get_size ())))
  52
  53 #define CONST_ARRAY_AFTER(T,X)  ((reinterpret_cast<const T *>(CONST_CHARP(&(X)) + X.get_size ())))
  54 #define ARRAY_AFTER(T,X)        ((reinterpret_cast<T *>(CHARP(&(X)) + X.get_size ())))
  55
  56 /*
  57  * Class features
  58  */
  59
  60
  61 /* Null objects */
  62
  63 /* Global nul-content Null pool.  Enlarge as necessary. */
  64 static const void *_NullPool[32 / sizeof (void *)];
  65
  66 /* Generic template for nul-content sizeof-sized Null objects. */
  67 template <typename Type>
  68 static inline const Type& Null () {
  69   ASSERT_STATIC (sizeof (Type) <= sizeof (_NullPool));
  70   return CONST_CAST (Type, *_NullPool, 0);
  71 }
  72
  73 /* Specializaiton for arbitrary-content arbitrary-sized Null objects. */
  74 #define DEFINE_NULL_DATA(Type, size, data) \
  75 static const char _Null##Type[size + 1] = data; \
  76 template <> \
  77 inline const Type& Null<Type> () { \
  78   return CONST_CAST (Type, *_Null##Type, 0); \
  79 }
  80
  81 /* Accessor macro. */
  82 #define Null(Type) Null<Type>()
  83
  84
  85 /* get_for_data() is a static class method returning a reference to an
  86  * instance of Type located at the input data location.  It's just a
  87  * fancy, NULL-safe, cast! */
  88 #define STATIC_DEFINE_GET_FOR_DATA(Type) \
  89   static inline const Type& get_for_data (const char *data) \
  90   { \
  91     if (HB_UNLIKELY (data == NULL)) return Null(Type); \
  92     return CONST_CAST (Type, *data, 0); \
  93   }
  94 /* Like get_for_data(), but checks major version first. */
  95 #define STATIC_DEFINE_GET_FOR_DATA_CHECK_MAJOR_VERSION(Type, MajorMin, MajorMax) \
  96   static inline const Type& get_for_data (const char *data) \
  97   { \
  98     if (HB_UNLIKELY (data == NULL)) return Null(Type); \
  99     const Type& t = CONST_CAST (Type, *data, 0); \
 100     if (HB_UNLIKELY (t.version.major < MajorMin || t.version.major > MajorMax)) return Null(Type); \
 101     return t; \
 102   }
 103
 104
 105 /*
 106  * Sanitize
 107  */
 108
 109 #ifndef HB_DEBUG_SANITIZE
 110 #define HB_DEBUG_SANITIZE HB_DEBUG
 111 #endif
 112
 113 #if HB_DEBUG_SANITIZE
 114 #define TRACE_SANITIZE_ARG_DEF  , unsigned int sanitize_depth HB_GNUC_UNUSED
 115 #define TRACE_SANITIZE_ARG      , sanitize_depth + 1
 116 #define TRACE_SANITIZE_ARG_INIT , 1
 117 #define TRACE_SANITIZE() \
 118         HB_STMT_START { \
 119             if (sanitize_depth < HB_DEBUG_SANITIZE) \
 120                 fprintf (stderr, "SANITIZE(%p) %-*d-> %s\n", \
 121                          (CONST_CHARP (this) == CONST_CHARP (&NullPool)) ? 0 : this, \
 122                          sanitize_depth, sanitize_depth, \
 123                          __PRETTY_FUNCTION__); \
 124         } HB_STMT_END
 125 #else
 126 #define TRACE_SANITIZE_ARG_DEF
 127 #define TRACE_SANITIZE_ARG
 128 #define TRACE_SANITIZE_ARG_INIT
 129 #define TRACE_SANITIZE() HB_STMT_START {} HB_STMT_END
 130 #endif
 131
 132 #define SANITIZE_ARG_DEF \
 133         hb_sanitize_context_t *context TRACE_SANITIZE_ARG_DEF
 134 #define SANITIZE_ARG \
 135         context TRACE_SANITIZE_ARG
 136 #define SANITIZE_ARG_INIT \
 137         &context TRACE_SANITIZE_ARG_INIT
 138
 139 typedef struct _hb_sanitize_context_t hb_sanitize_context_t;
 140 struct _hb_sanitize_context_t
 141 {
 142   const char *start, *end;
 143   int edit_count;
 144   hb_blob_t *blob;
 145 };
 146
 147 static HB_GNUC_UNUSED void
 148 _hb_sanitize_init (hb_sanitize_context_t *context,
 149                    hb_blob_t *blob)
 150 {
 151   context->blob = blob;
 152   context->start = hb_blob_lock (blob);
 153   context->end = context->start + hb_blob_get_length (blob);
 154   context->edit_count = 0;
 155
 156 #if HB_DEBUG_SANITIZE
 157   fprintf (stderr, "sanitize %p init [%p..%p] (%u bytes)\n",
 158            context->blob, context->start, context->end, context->end - context->start);
 159 #endif
 160 }
 161
 162 static HB_GNUC_UNUSED void
 163 _hb_sanitize_fini (hb_sanitize_context_t *context,
 164                    bool unlock)
 165 {
 166 #if HB_DEBUG_SANITIZE
 167   fprintf (stderr, "sanitize %p fini [%p..%p] %u edit requests\n",
 168            context->blob, context->start, context->end, context->edit_count);
 169 #endif
 170
 171   if (unlock)
 172     hb_blob_unlock (context->blob);
 173 }
 174
 175 static HB_GNUC_UNUSED inline bool
 176 _hb_sanitize_check (SANITIZE_ARG_DEF,
 177                     const char *base,
 178                     unsigned int len)
 179 {
 180   bool ret = context->start <= base &&
 181              base <= context->end &&
 182              (unsigned int) (context->end - base) >= len;
 183
 184 #if HB_DEBUG_SANITIZE
 185   if (sanitize_depth < HB_DEBUG_SANITIZE) \
 186     fprintf (stderr, "SANITIZE(%p) %-*d-> check [%p..%p] (%d bytes) in [%p..%p] -> %s\n", \
 187              base,
 188              sanitize_depth, sanitize_depth,
 189              base, base+len, len,
 190              context->start, context->end,
 191              ret ? "pass" : "FAIL");
 192 #endif
 193   return ret;
 194 }
 195
 196 static HB_GNUC_UNUSED inline bool
 197 _hb_sanitize_array (SANITIZE_ARG_DEF,
 198                     const char *base,
 199                     unsigned int record_size,
 200                     unsigned int len)
 201 {
 202   bool overflows = record_size > 0 && len >= ((unsigned int) -1) / record_size;
 203
 204 #if HB_DEBUG_SANITIZE
 205   if (sanitize_depth < HB_DEBUG_SANITIZE) \
 206     fprintf (stderr, "SANITIZE(%p) %-*d-> array [%p..%p] (%d*%d=%ld bytes) in [%p..%p] -> %s\n", \
 207              base,
 208              sanitize_depth, sanitize_depth,
 209              base, base + (record_size * len), record_size, len, (unsigned long) record_size * len,
 210              context->start, context->end,
 211              !overflows ? "does not overflow" : "OVERFLOWS FAIL");
 212 #endif
 213   return HB_LIKELY (!overflows) && _hb_sanitize_check (SANITIZE_ARG, base, record_size * len);
 214 }
 215
 216 static HB_GNUC_UNUSED inline bool
 217 _hb_sanitize_edit (SANITIZE_ARG_DEF,
 218                    const char *base HB_GNUC_UNUSED,
 219                    unsigned int len HB_GNUC_UNUSED)
 220 {
 221   bool perm = hb_blob_try_writable_inplace (context->blob);
 222   context->edit_count++;
 223
 224 #if HB_DEBUG_SANITIZE
 225   fprintf (stderr, "SANITIZE(%p) %-*d-> edit(%u) [%p..%p] (%d bytes) in [%p..%p] -> %s\n", \
 226            base,
 227            sanitize_depth, sanitize_depth,
 228            context->edit_count,
 229            base, base+len, len,
 230            context->start, context->end,
 231            perm ? "granted" : "REJECTED");
 232 #endif
 233   return perm;
 234 }
 235
 236 #define SANITIZE(X) HB_LIKELY ((X).sanitize (SANITIZE_ARG))
 237 #define SANITIZE2(X,Y) (SANITIZE (X) && SANITIZE (Y))
 238
 239 #define SANITIZE_THIS(X) HB_LIKELY ((X).sanitize (SANITIZE_ARG, CONST_CHARP(this)))
 240 #define SANITIZE_THIS2(X,Y) (SANITIZE_THIS (X) && SANITIZE_THIS (Y))
 241 #define SANITIZE_THIS3(X,Y,Z) (SANITIZE_THIS (X) && SANITIZE_THIS (Y) && SANITIZE_THIS(Z))
 242
 243 #define SANITIZE_BASE(X,B) HB_LIKELY ((X).sanitize (SANITIZE_ARG, B))
 244 #define SANITIZE_BASE2(X,Y,B) (SANITIZE_BASE (X,B) && SANITIZE_BASE (Y,B))
 245
 246 #define SANITIZE_SELF() SANITIZE_OBJ (*this)
 247 #define SANITIZE_OBJ(X) SANITIZE_MEM(&(X), sizeof (X))
 248 #define SANITIZE_GET_SIZE() SANITIZE_SELF() && SANITIZE_MEM (this, this->get_size ())
 249
 250 #define SANITIZE_MEM(B,L) HB_LIKELY (_hb_sanitize_check (SANITIZE_ARG, CONST_CHARP(B), (L)))
 251
 252 #define SANITIZE_ARRAY(A,S,L) HB_LIKELY (_hb_sanitize_array (SANITIZE_ARG, CONST_CHARP(A), S, L))
 253
 254 #define NEUTER(Var, Val) \
 255         (SANITIZE_OBJ (Var) && \
 256          _hb_sanitize_edit (SANITIZE_ARG, CONST_CHARP(&(Var)), sizeof (Var)) && \
 257          ((Var).set (Val), true))
 258
 259
 260 /* Template to sanitize an object. */
 261 template <typename Type>
 262 struct Sanitizer
 263 {
 264   static hb_blob_t *sanitize (hb_blob_t *blob) {
 265     hb_sanitize_context_t context;
 266     bool sane;
 267
 268     /* TODO is_sane() stuff */
 269
 270   retry:
 271 #if HB_DEBUG_SANITIZE
 272     fprintf (stderr, "Sanitizer %p start %s\n", blob, __PRETTY_FUNCTION__);
 273 #endif
 274
 275     _hb_sanitize_init (&context, blob);
 276
 277     Type *t = &CAST (Type, *DECONST_CHARP(context.start), 0);
 278
 279     sane = t->sanitize (SANITIZE_ARG_INIT);
 280     if (sane) {
 281       if (context.edit_count) {
 282 #if HB_DEBUG_SANITIZE
 283         fprintf (stderr, "Sanitizer %p passed first round with %d edits; going a second round %s\n",
 284                  blob, context.edit_count, __PRETTY_FUNCTION__);
 285 #endif
 286         /* sanitize again to ensure no toe-stepping */
 287         context.edit_count = 0;
 288         sane = t->sanitize (SANITIZE_ARG_INIT);
 289         if (context.edit_count) {
 290 #if HB_DEBUG_SANITIZE
 291           fprintf (stderr, "Sanitizer %p requested %d edits in second round; FAILLING %s\n",
 292                    blob, context.edit_count, __PRETTY_FUNCTION__);
 293 #endif
 294           sane = false;
 295         }
 296       }
 297       _hb_sanitize_fini (&context, true);
 298     } else {
 299       unsigned int edit_count = context.edit_count;
 300       _hb_sanitize_fini (&context, true);
 301       if (edit_count && !hb_blob_is_writable (blob) && hb_blob_try_writable (blob)) {
 302         /* ok, we made it writable by relocating.  try again */
 303 #if HB_DEBUG_SANITIZE
 304         fprintf (stderr, "Sanitizer %p retry %s\n", blob, __PRETTY_FUNCTION__);
 305 #endif
 306         goto retry;
 307       }
 308     }
 309
 310 #if HB_DEBUG_SANITIZE
 311     fprintf (stderr, "Sanitizer %p %s %s\n", blob, sane ? "passed" : "FAILED", __PRETTY_FUNCTION__);
 312 #endif
 313     if (sane)
 314       return blob;
 315     else {
 316       hb_blob_destroy (blob);
 317       return hb_blob_create_empty ();
 318     }
 319   }
 320
 321   static const Type& lock_instance (hb_blob_t *blob) {
 322     return Type::get_for_data (hb_blob_lock (blob));
 323   }
 324 };
 325
 326
 327 /*
 328  *
 329  * The OpenType Font File: Data Types
 330  */
 331
 332
 333 /* "The following data types are used in the OpenType font file.
 334  *  All OpenType fonts use Motorola-style byte ordering (Big Endian):" */
 335
 336 /*
 337  * Int types
 338  */
 339
 340 /* TODO On machines that allow unaligned access, use this version. */
 341 #define _DEFINE_INT_TYPE1_UNALIGNED(NAME, TYPE, BIG_ENDIAN, BYTES) \
 342   struct NAME \
 343   { \
 344     inline NAME& set (TYPE i) { (TYPE&) v = BIG_ENDIAN (i); return *this; } \
 345     inline operator TYPE(void) const { return BIG_ENDIAN ((TYPE&) v); } \
 346     inline bool operator == (const NAME &o) const { return (TYPE&) v == (TYPE&) o.v; } \
 347     inline bool sanitize (SANITIZE_ARG_DEF) { \
 348       TRACE_SANITIZE (); \
 349       return SANITIZE_SELF (); \
 350     } \
 351     private: unsigned char v[BYTES]; \
 352   }; \
 353   ASSERT_SIZE (NAME, BYTES)
 354
 355 #define DEFINE_INT_TYPE1(NAME, TYPE, BIG_ENDIAN, BYTES) \
 356   struct NAME \
 357   { \
 358     static inline unsigned int get_size () { return BYTES; } \
 359     inline void set (TYPE i) { BIG_ENDIAN##_put_unaligned(v, i); } \
 360     inline operator TYPE(void) const { return BIG_ENDIAN##_get_unaligned (v); } \
 361     inline bool operator == (const NAME &o) const { return BIG_ENDIAN##_cmp_unaligned (v, o.v); } \
 362     inline bool sanitize (SANITIZE_ARG_DEF) { \
 363       TRACE_SANITIZE (); \
 364       return SANITIZE_SELF (); \
 365     } \
 366     private: unsigned char v[BYTES]; \
 367   }; \
 368   ASSERT_SIZE (NAME, BYTES)
 369 #define DEFINE_INT_TYPE0(NAME, type, b) DEFINE_INT_TYPE1 (NAME, type##_t, hb_be_##type, b)
 370 #define DEFINE_INT_TYPE(NAME, u, w)     DEFINE_INT_TYPE0 (NAME, u##int##w, (w / 8))
 371
 372
 373 DEFINE_INT_TYPE (USHORT,  u, 16);       /* 16-bit unsigned integer. */
 374 DEFINE_INT_TYPE (SHORT,   , 16);        /* 16-bit signed integer. */
 375 DEFINE_INT_TYPE (ULONG,  u, 32);        /* 32-bit unsigned integer. */
 376 DEFINE_INT_TYPE (LONG,    , 32);        /* 32-bit signed integer. */
 377
 378
 379 /* Array of four uint8s (length = 32 bits) used to identify a script, language
 380  * system, feature, or baseline */
 381 struct Tag : ULONG
 382 {
 383   /* What the char* converters return is NOT nul-terminated.  Print using "%.4s" */
 384   inline operator const char* (void) const { return CONST_CHARP(this); }
 385   inline operator char* (void) { return CHARP(this); }
 386
 387   inline bool sanitize (SANITIZE_ARG_DEF) {
 388     TRACE_SANITIZE ();
 389     /* Note: Only accept ASCII-visible tags (mind DEL)
 390      * This is one of the few times (only time?) we check
 391      * for data integrity, as opposed o just boundary checks
 392      */
 393     return SANITIZE_SELF () && (((uint32_t) *this) & 0x80808080) == 0;
 394   }
 395 };
 396 ASSERT_SIZE (Tag, 4);
 397 DEFINE_NULL_DATA (Tag, 4, "    ");
 398
 399 /* Glyph index number, same as uint16 (length = 16 bits) */
 400 typedef USHORT GlyphID;
 401
 402 /* Offset to a table, same as uint16 (length = 16 bits), Null offset = 0x0000 */
 403 typedef USHORT Offset;
 404
 405 /* LongOffset to a table, same as uint32 (length = 32 bits), Null offset = 0x00000000 */
 406 typedef ULONG LongOffset;
 407
 408
 409 /* CheckSum */
 410 struct CheckSum : ULONG
 411 {
 412   static uint32_t CalcTableChecksum (ULONG *Table, uint32_t Length)
 413   {
 414     uint32_t Sum = 0L;
 415     ULONG *EndPtr = Table+((Length+3) & ~3) / ULONG::get_size ();
 416
 417     while (Table < EndPtr)
 418       Sum += *Table++;
 419     return Sum;
 420   }
 421 };
 422 ASSERT_SIZE (CheckSum, 4);
 423
 424
 425 /*
 426  * Version Numbers
 427  */
 428
 429 struct FixedVersion
 430 {
 431   inline operator uint32_t (void) const { return (major << 16) + minor; }
 432
 433   inline bool sanitize (SANITIZE_ARG_DEF) {
 434     TRACE_SANITIZE ();
 435     return SANITIZE_SELF ();
 436   }
 437
 438   USHORT major;
 439   USHORT minor;
 440 };
 441 ASSERT_SIZE (FixedVersion, 4);
 442
 443
 444
 445 /*
 446  * Template subclasses of Offset and LongOffset that do the dereferencing.
 447  * Use: (this+memberName)
 448  */
 449
 450 template <typename OffsetType, typename Type>
 451 struct GenericOffsetTo : OffsetType
 452 {
 453   inline const Type& operator () (const void *base) const
 454   {
 455     unsigned int offset = *this;
 456     if (HB_UNLIKELY (!offset)) return Null(Type);
 457     return CONST_CAST(Type, *CONST_CHARP(base), offset);
 458   }
 459
 460   inline bool sanitize (SANITIZE_ARG_DEF, const void *base) {
 461     TRACE_SANITIZE ();
 462     if (!SANITIZE_SELF ()) return false;
 463     unsigned int offset = *this;
 464     if (HB_UNLIKELY (!offset)) return true;
 465     return SANITIZE (CAST(Type, *DECONST_CHARP(base), offset)) || NEUTER (DECONST_CAST(OffsetType,*this,0), 0);
 466   }
 467   inline bool sanitize (SANITIZE_ARG_DEF, const void *base, const void *base2) {
 468     TRACE_SANITIZE ();
 469     if (!SANITIZE_SELF ()) return false;
 470     unsigned int offset = *this;
 471     if (HB_UNLIKELY (!offset)) return true;
 472     return SANITIZE_BASE (CAST(Type, *DECONST_CHARP(base), offset), base2) || NEUTER (DECONST_CAST(OffsetType,*this,0), 0);
 473   }
 474   inline bool sanitize (SANITIZE_ARG_DEF, const void *base, unsigned int user_data) {
 475     TRACE_SANITIZE ();
 476     if (!SANITIZE_SELF ()) return false;
 477     unsigned int offset = *this;
 478     if (HB_UNLIKELY (!offset)) return true;
 479     return SANITIZE_BASE (CAST(Type, *DECONST_CHARP(base), offset), user_data) || NEUTER (DECONST_CAST(OffsetType,*this,0), 0);
 480   }
 481 };
 482 template <typename Base, typename OffsetType, typename Type>
 483 inline const Type& operator + (const Base &base, GenericOffsetTo<OffsetType, Type> offset) { return offset (base); }
 484
 485 template <typename Type>
 486 struct OffsetTo : GenericOffsetTo<Offset, Type> {};
 487
 488 template <typename Type>
 489 struct LongOffsetTo : GenericOffsetTo<LongOffset, Type> {};
 490
 491
 492 /*
 493  * Array Types
 494  */
 495
 496 template <typename LenType, typename Type>
 497 struct GenericArrayOf
 498 {
 499   const Type *const_array(void) const { return CONST_ARRAY_AFTER (Type, len); }
 500   Type *array(void) { return ARRAY_AFTER (Type, len); }
 501
 502   inline const Type& operator [] (unsigned int i) const
 503   {
 504     if (HB_UNLIKELY (i >= len)) return Null(Type);
 505     return const_array()[i];
 506   }
 507   inline unsigned int get_size () const
 508   { return len.get_size () + len * Type::get_size (); }
 509
 510   inline bool sanitize (SANITIZE_ARG_DEF) {
 511     TRACE_SANITIZE ();
 512     if (!SANITIZE_GET_SIZE()) return false;
 513     /* Note: for structs that do not reference other structs,
 514      * we do not need to call their sanitize() as we already did
 515      * a bound check on the aggregate array size, hence the return.
 516      */
 517     return true;
 518     /* We do keep this code though to make sure the structs pointed
 519      * to do have a simple sanitize(), ie. they do not reference
 520      * other structs. */
 521     unsigned int count = len;
 522     for (unsigned int i = 0; i < count; i++)
 523       if (!SANITIZE (array()[i]))
 524         return false;
 525     return true;
 526   }
 527   inline bool sanitize (SANITIZE_ARG_DEF, const void *base) {
 528     TRACE_SANITIZE ();
 529     if (!SANITIZE_GET_SIZE()) return false;
 530     unsigned int count = len;
 531     for (unsigned int i = 0; i < count; i++)
 532       if (!array()[i].sanitize (SANITIZE_ARG, base))
 533         return false;
 534     return true;
 535   }
 536   inline bool sanitize (SANITIZE_ARG_DEF, const void *base, const void *base2) {
 537     TRACE_SANITIZE ();
 538     if (!SANITIZE_GET_SIZE()) return false;
 539     unsigned int count = len;
 540     for (unsigned int i = 0; i < count; i++)
 541       if (!array()[i].sanitize (SANITIZE_ARG, base, base2))
 542         return false;
 543     return true;
 544   }
 545   inline bool sanitize (SANITIZE_ARG_DEF, const void *base, unsigned int user_data) {
 546     TRACE_SANITIZE ();
 547     if (!SANITIZE_GET_SIZE()) return false;
 548     unsigned int count = len;
 549     for (unsigned int i = 0; i < count; i++)
 550       if (!array()[i].sanitize (SANITIZE_ARG, base, user_data))
 551         return false;
 552     return true;
 553   }
 554
 555   LenType len;
 556 /*Type array[VAR];*/
 557 };
 558
 559 /* An array with a USHORT number of elements. */
 560 template <typename Type>
 561 struct ArrayOf : GenericArrayOf<USHORT, Type> {};
 562
 563 /* An array with a ULONG number of elements. */
 564 template <typename Type>
 565 struct LongArrayOf : GenericArrayOf<ULONG, Type> {};
 566
 567 /* Array of Offset's */
 568 template <typename Type>
 569 struct OffsetArrayOf : ArrayOf<OffsetTo<Type> > {};
 570
 571 /* Array of LongOffset's */
 572 template <typename Type>
 573 struct LongOffsetArrayOf : ArrayOf<LongOffsetTo<Type> > {};
 574
 575 /* LongArray of LongOffset's */
 576 template <typename Type>
 577 struct LongOffsetLongArrayOf : LongArrayOf<LongOffsetTo<Type> > {};
 578
 579 /* Array of offsets relative to the beginning of the array itself. */
 580 template <typename Type>
 581 struct OffsetListOf : OffsetArrayOf<Type>
 582 {
 583   inline const Type& operator [] (unsigned int i) const
 584   {
 585     if (HB_UNLIKELY (i >= this->len)) return Null(Type);
 586     return this+this->const_array()[i];
 587   }
 588
 589   inline bool sanitize (SANITIZE_ARG_DEF) {
 590     TRACE_SANITIZE ();
 591     return OffsetArrayOf<Type>::sanitize (SANITIZE_ARG, CONST_CHARP(this));
 592   }
 593   inline bool sanitize (SANITIZE_ARG_DEF, unsigned int user_data) {
 594     TRACE_SANITIZE ();
 595     return OffsetArrayOf<Type>::sanitize (SANITIZE_ARG, CONST_CHARP(this), user_data);
 596   }
 597 };
 598
 599
 600 /* An array with a USHORT number of elements,
 601  * starting at second element. */
 602 template <typename Type>
 603 struct HeadlessArrayOf
 604 {
 605   const Type *const_array(void) const { return CONST_ARRAY_AFTER (Type, len); }
 606   Type *array(void) { return ARRAY_AFTER (Type, len); }
 607
 608   inline const Type& operator [] (unsigned int i) const
 609   {
 610     if (HB_UNLIKELY (i >= len || !i)) return Null(Type);
 611     return const_array()[i-1];
 612   }
 613   inline unsigned int get_size () const
 614   { return len.get_size () + (len ? len - 1 : 0) * Type::get_size (); }
 615
 616   inline bool sanitize (SANITIZE_ARG_DEF) {
 617     TRACE_SANITIZE ();
 618     if (!SANITIZE_GET_SIZE()) return false;
 619     /* Note: for structs that do not reference other structs,
 620      * we do not need to call their sanitize() as we already did
 621      * a bound check on the aggregate array size, hence the return.
 622      */
 623     return true;
 624     /* We do keep this code though to make sure the structs pointed
 625      * to do have a simple sanitize(), ie. they do not reference
 626      * other structs. */
 627     unsigned int count = len ? len - 1 : 0;
 628     Type *a = array();
 629     for (unsigned int i = 0; i < count; i++)
 630       if (!SANITIZE (a[i]))
 631         return false;
 632     return true;
 633   }
 634
 635   USHORT len;
 636 /*Type array[VAR];*/
 637 };
 638
 639
 640 #endif /* HB_OPEN_TYPES_PRIVATE_HH */