Design by Contract คืออะไร?

Question

Accepted Answer

**Design by Contract (DbC)** ถือว่าความสัมพันธ์ระหว่างเมธอดและผู้เรียกใช้งานเป็นข้อตกลงอย่างเป็นทางการ ซึ่งนิยามโดยสามสิ่ง: **preconditions** (สิ่งที่ผู้เรียกใช้งานต้องรับประกัน), **postconditions** (สิ่งที่เมธอดรับประกันเพื่อตอบแทน) และ **invariants** (สิ่งที่ยังคงเป็นจริงสำหรับอ็อบเจ็กต์ตลอดเวลา)

## ข้อบัญชาสามประการ

```text
PRECONDITION  → caller's duty: inputs/state the method requires to run correctly
POSTCONDITION → method's duty: what it promises on return (if precondition held)
INVARIANT     → always-true property of the object, before and after every method
```

## ในโค้ด

```python
class Account:
    def __init__(self, balance):
        self._balance = balance
        self._check_invariant()

def withdraw(self, amount):
        assert amount > 0, "PRE: amount must be positive"        # precondition
        assert amount <= self._balance, "PRE: sufficient funds"  # precondition
        old = self._balance
        self._balance -= amount
        assert self._balance == old - amount, "POST: balance reduced"  # postcond
        self._check_invariant()

def _check_invariant(self):
        assert self._balance >= 0, "INVARIANT: balance never negative"
```

ถ้า *precondition* ล้มเหลว **ผู้เรียกใช้งาน** มีบั๊ก ถ้า *postcondition* หรือ *invariant* ล้มเหลว **เมธอด** มีบั๊ก — ข้อตกลงชี้บอกความผิดได้อย่างแม่นยำ

## ความสัมพันธ์กับ LSP

DbC ทำให้ Liskov ถูกต้องแม่นยำ: subtype สามารถ **อ่อนแอลง preconditions** และ **เสริมแรง postconditions** แต่ไม่ใช่ในทางกลับกัน นี่คือกฎการแทนที่ที่แม่นยำเสียงแบบข้อตกลง

## ข้อแลกเปลี่ยน

```text
✓ Bugs surface at the boundary, with clear blame   ✓ Contracts double as documentation
⚠️ Runtime checks cost performance (often disabled in prod via assertions)
⚠️ Not all languages enforce it natively (Eiffel does; most use asserts/validation)
```

## เหตุที่มีความสำคัญ

ข้อตกลงเปลี่ยนสมมติฐานที่คลุมเครือ ("จำนวนควรเป็นบวก ฉันคิด") เป็นกฎที่ชัดเจน ตรวจสอบได้ — และพวกมันกำหนดความผิดได้อย่างแม่นยำเมื่อมีบางอย่างแตกหัก

พวกเขาเป็นพื้นฐานของการแทนที่ Liskov และการออกแบบ API ที่แข็งแกร่ง: ข้อตกลงของเมธอดคือ interface ที่แท้จริงของมัน ซื่อสัตย์กว่าลายเซ็นชนิดของมันเพียงอย่างเดียว