Что такое design by contract?

Question

Accepted Answer

**Design by Contract (DbC)** рассматривает отношение между методом и его вызывающей функцией как формальное соглашение, определяемое тремя вещами: **preconditions** (что должен гарантировать вызывающий код), **postconditions** (что гарантирует метод в return), и **invariants** (что остается истинным для объекта во все времена).

## Три обязательства

```text
PRECONDITION  → caller's duty: inputs/state the method requires to run correctly
POSTCONDITION → method's duty: what it promises on return (if precondition held)
INVARIANT     → always-true property of the object, before and after every method
```

## В коде

```python
class Account:
    def __init__(self, balance):
        self._balance = balance
        self._check_invariant()

def withdraw(self, amount):
        assert amount > 0, "PRE: amount must be positive"        # precondition
        assert amount <= self._balance, "PRE: sufficient funds"  # precondition
        old = self._balance
        self._balance -= amount
        assert self._balance == old - amount, "POST: balance reduced"  # postcond
        self._check_invariant()

def _check_invariant(self):
        assert self._balance >= 0, "INVARIANT: balance never negative"
```

Если *precondition* нарушена, ошибка у **вызывающего кода**. Если *postcondition* или *invariant* нарушены, ошибка у **метода** — контракты точно указывают на виновного.

## Связь с LSP

DbC делает Liskov точным: подтип может **ослабить preconditions** и **усилить postconditions**, но не наоборот. Это ровно правило подстановки, выраженное в виде контрактов.

## Trade-offs

```text
✓ Bugs surface at the boundary, with clear blame   ✓ Contracts double as documentation
⚠️ Runtime checks cost performance (often disabled in prod via assertions)
⚠️ Not all languages enforce it natively (Eiffel does; most use asserts/validation)
```

## Почему это важно

Контракты превращают расплывчатые предположения ("сумма должна быть положительной, как я думаю") в явные, проверяемые правила — и точно указывают на виновного, когда что-то ломается.

Они лежат в основе подстановки Liskov и надежного дизайна API: контракт метода — это её истинный интерфейс, более честный, чем одна лишь сигнатура типа.