Spécifier et écrire borner(x, a, b), qui ramène x dans l'intervalle

def borner(x, a, b):
    """Ramene x dans l'intervalle [a, b].

    Precondition  : a <= b.
    Postcondition : a <= resultat <= b, et resultat == x lorsque a <= x <= b.
    """
    assert a <= b, "intervalle vide"
    if x < a:
        r = a
    elif x > b:
        r = b
    else:
        r = x
    assert a <= r <= b
    return r

La précondition $a\le b$ n'est pas cosmétique. Si $a>b$, l'intervalle est vide : aucune valeur ne peut satisfaire $a\le r\le b$, et la postcondition serait impossible à tenir. Une précondition trop large ne rend pas la fonction plus utile — elle rend sa promesse fausse.

La postcondition en deux parties est essentielle. La première seule ($a\le r\le b$) serait satisfaite par la fonction return a, qui est absurde. C'est la seconde clause — « et r == x quand x était déjà dans l'intervalle » — qui interdit cette tricherie.

Le jeu de tests exhaustif.

compte = 0
for a in range(-3, 4):
    for b in range(a, 4):
        for x in range(-6, 7):
            r = borner(x, a, b)
            assert a <= r <= b
            if a <= x <= b:
                assert r == x
            compte = compte + 1
print(compte)      # 364

$364$ triplets, tous conformes.

Pourquoi l'exhaustivité est ici possible. Parce qu'on a restreint le domaine : $a$ et $b$ entre $-3$ et $3$, $x$ entre $-6$ et $6$. Sur les entiers Python, le domaine est infini — aucun jeu de tests ne peut le couvrir. Le pari, raisonnable mais non démontré, est que si la fonction est fausse, elle l'est déjà sur de petites valeurs. On teste par-dessus le marché les bornes elles-mêmes : borner(0, 0, 10) rend $0$ et borner(10, 0, 10) rend $10$ — les deux endroits où un < écrit à la place d'un <= se verrait.