Golang模糊测试(fuzzing)怎么使用展示Go 1.18+的fuzz测试特性-Golang-PHP中文网

Golang模糊测试(fuzzing)怎么使用展示Go 1.18+的fuzz测试特性

P粉602998670

发布： 2025-07-03 12:20:02

原创

573人浏览过

go 1.18引入的模糊测试是一种自动化测试技术，通过生成随机输入发现程序漏洞。其核心步骤包括：1. 编写以fuzzxxx命名的模糊测试函数；2. 使用f.add定义种子语料库；3. 使用f.fuzz编写模糊目标函数；4. 运行go test -fuzz=fuzzxxx命令执行测试。选择种子语料库应覆盖正常、边界和错误输入情况，可借鉴现有单元测试用例。解读结果时需分析崩溃报告，定位根本问题，常见问题包括缓冲区溢出、空指针引用等。优化性能可通过并发、限制输入大小、启用代码覆盖率引导等方式实现，但需注意资源竞争风险。模糊测试局限性在于无法发现所有类型bug、消耗大量计算资源且需要人工分析结果，因此应结合其他测试手段共同保障代码质量。

Golang模糊测试(fuzzing)怎么使用展示Go 1.18+的fuzz测试特性

Go 1.18引入的模糊测试（fuzzing）是一种自动化测试技术，它通过生成随机的、非预期的输入数据来发现程序中的漏洞和错误。简单来说，它就像一个不知疲倦的猴子，不停地敲打你的代码，试图找到让它崩溃的方法。

使用Go的模糊测试，可以更有效地发现那些难以通过传统单元测试发现的边界情况和隐藏bug。

解决方案

要使用Go的模糊测试，需要以下几个步骤：

立即学习“go语言免费学习笔记（深入）”；

编写模糊测试函数： 定义一个以FuzzXxx为名称前缀的函数，其中Xxx是任意有意义的名称。该函数接受一个*testing.F类型的参数。
定义种子语料库： 使用f.Add()方法添加一些初始的输入数据，这些数据被称为种子语料库。这些数据应该覆盖一些常见的、有代表性的输入情况。
编写模糊目标函数： 使用f.Fuzz()方法定义模糊目标函数。该函数接受模糊测试生成的输入数据，并对这些数据进行处理。在这个函数中，调用被测试的代码。
运行模糊测试： 使用go test -fuzz=FuzzXxx命令运行模糊测试。Go会自动生成随机的输入数据，并将其传递给模糊目标函数。

下面是一个简单的例子，展示如何使用Go的模糊测试来测试一个字符串反转函数：

package stringutil

import (
    "testing"
    "unicode/utf8"
)

func Reverse(s string) string {
    r := []rune(s)
    for i, j := 0, len(r)-1; i < len(r)/2; i, j = i+1, j-1 {
        r[i], r[j] = r[j], r[i]
    }
    return string(r)
}

func FuzzReverse(f *testing.F) {
    testcases := []string{"Hello, world", " ", "!12345"}
    for _, tc := range testcases {
        f.Add(tc) // Use f.Add as a seed corpus
    }
    f.Fuzz(func(t *testing.T, orig string) {
        rev := Reverse(orig)
        doubleRev := Reverse(rev)
        if orig != doubleRev {
            t.Errorf("Before: %q, after: %q", orig, doubleRev)
        }
        if utf8.ValidString(orig) && !utf8.ValidString(rev) {
            t.Errorf("Reverse produced invalid UTF-8 string %q from input %q", rev, orig)
        }
    })
}

登录后复制

在这个例子中，FuzzReverse函数定义了一个模糊测试函数。它首先使用f.Add()方法添加了一些初始的种子语料库。然后，它使用f.Fuzz()方法定义了一个模糊目标函数。该函数接受一个字符串作为输入，并将其反转两次。如果原始字符串和反转两次后的字符串不相等，或者反转后的字符串不是有效的UTF-8字符串，则测试失败。