俄羅斯：將審查iPhone等外國公司設備 保數據安全
iPhone和特斯拉都屬于在各自領域領頭羊的品牌，推出的產品也也都是數一數二的，但對于一些國家而言，它們的產品可靠性和安全性還是在限制范圍內。近日，俄羅斯聯邦通信、信息技術
模糊測試（Fuzz Testing）是通過向目標系統提供非預期的輸入并監視異常結果來發現軟件漏洞的方法。可以用來發現應用程序、操作系統和網絡協議等中的漏洞或錯誤，特別是容易被忽視的邊界情況。模糊測試的基本思路是在測試過程中生成大量的隨機數，然后將這些數據輸入到被測試的程序中，監測程序的異常運行結果來分析程序中的缺陷和漏洞。
Golang 從 1.18 版本開始將模糊測試整合進了標準庫，通過標準庫 testing/fuzz 來實現模糊測試，Golang 引入模糊測試可以幫助開發者進一步保障和提高應用程序的安全性。
Golang 中的模糊測試是通過數據構造引擎自動構造出（也可以借助開發者提供的初始數據）大量隨機數據，作為程序的輸入來進行測試的一種方式。模糊測試會監測程序運行過程中是否出現 panic、斷言失敗、無限循環等異常情況。這些通過數據構造引擎生成的數據被稱為語料（corpus） 。模糊測試是一種持續測試的手段，如果不限制執行的次數或者執行時間，就會一直執行下去。
模糊測試和單元測試類似的地方是測試文件也是以 _test.go 為后綴名，不同的是模式測試函數需要以 Fuzz 為前綴，后面跟上一個或多個字符或字符組合來標識測試用例的名稱（一般使用被測的函數名稱），參數必須是 f *testing.F。
以 json 格式校驗工具https://github.com/luduoxin/json-validator-go 為例，在 validator 包中的 scanner.go 文件中新增一個除法函數，代碼如下：
func Div(a, b int) int { return a / b}這個函數顯然沒有考慮除數為 0 的情況，如果使用單元測試，使用的測試數據沒有考慮除數為 0 的情況的話，這個問題就不會被發現，但是使用模糊測試就可以測出這種問題。然后在 validator 包中的 scanner_test.go 文件中添加模糊測試用例，代碼如下：
func FuzzDiv(f *testing.F) { f.Fuzz(func(t *testing.T, a, b int) { Div(a, b) })}然后運行模糊測試用例，如下命令是運行所有模糊測試用例:
$ go test -fuzz .fuzz: elapsed: 0s, gathering baseline coverage: 0/2 completedfailure while testing seed corpus entry: FuzzDiv/120fad832ddff45a1b2b70e7a31805a5c8d84f773566e0d19799aeda53b3f9c0fuzz: elapsed: 0s, gathering baseline coverage: 0/2 completed--- FAIL: FuzzDiv (0.02s) --- FAIL: FuzzDiv (0.00s) testing.go:1349: panic: runtime error: integer divide by zero goroutine 55 [running]: runtime/debug.Stack() /usr/local/Cellar/go/1.18.3/libexec/src/runtime/debug/stack.go:24 +0x90 testing.tRunner.func1() /usr/local/Cellar/go/1.18.3/libexec/src/testing/testing.go:1349 +0x1f2 panic({0x119ccc0, 0x12ed080}) /usr/local/Cellar/go/1.18.3/libexec/src/runtime/panic.go:838 +0x207 github.com/luduoxin/json-validator-go/validator.Div(...) /Users/ning/projects/go/json-validator-go/validator/scanner.go:634 github.com/luduoxin/json-validator-go/validator.FuzzDiv.func1(0x0?, 0x0?, 0x0?) /Users/ning/projects/go/json-validator-go/validator/scanner_test.go:71 +0x33 reflect.Value.call({0x1199380?, 0x11d2428?, 0x13?}, {0x11c45aa, 0x4}, {0xc000188360, 0x3, 0x4?}) /usr/local/Cellar/go/1.18.3/libexec/src/reflect/value.go:556 +0x845 reflect.Value.Call({0x1199380?, 0x11d2428?, 0x514?}, {0xc000188360, 0x3, 0x4}) /usr/local/Cellar/go/1.18.3/libexec/src/reflect/value.go:339 +0xbf testing.(*F).Fuzz.func1.1(0x0?) /usr/local/Cellar/go/1.18.3/libexec/src/testing/fuzz.go:337 +0x231 testing.tRunner(0xc000180820, 0xc0001a83f0) /usr/local/Cellar/go/1.18.3/libexec/src/testing/testing.go:1439 +0x102 created by testing.(*F).Fuzz.func1 /usr/local/Cellar/go/1.18.3/libexec/src/testing/fuzz.go:324 +0x5b8 FAILexit status 1FAIL github.com/luduoxin/json-validator-go/validator 0.527s用例執行了一會后就報出了除數不能為 0 的 panic。執行模糊測試的過程中會在當前文件夾生成 testdata 目錄，導致用例沒有通過的數據會保存在這個目錄下，下次再次執行用例的時候會再次使用這些數據作為語料。
$ tree.├── scanner.go├── scanner_test.go└── testdata └── fuzz └── FuzzDiv └── 120fad832ddff45a1b2b70e7a31805a5c8d84f773566e0d19799aeda53b3f9c0打開未通過的語料內容，本機的數據如下（每個人執行的用例未通過的語料會有差異）：
go test fuzz v1int(-89)int(0)可以看出被除數是 -89，除數是 0，因為 0 不能作為除數，所以會報錯。
Golang 的模糊測試允許開發者提供初始語料，初始語料可以通過 f.Add 方法添加，也可以將語料按照要求的格式寫入 testdata/fuzz/FuzzXXX/ 中的語料文件中。重寫 FuzzDiv 方法，添加一些語料，代碼如下：
func FuzzDiv(f *testing.F) { testcases := []struct { a, b int }{ {10, 2}, {5, 3}, {-6, 3}, {-6, -3}, } for _, v := range testcases { // 根據提供的語料，反射獲得參數類型并窮舉可能的值 f.Add(v.a, v.b) } f.Fuzz(func(t *testing.T, a, b int) { Div(a, b) })}可以使用 -fuzztime 參數來控制模糊測試的執行時間：
go test -fuzz . -fuzztime 5s可以指定要執行的模糊測試用例：
go test -fuzz=FuzzDiv -fuzztime 5s使用指定的未測試通過的數據做測試，使用 -run=file 指定數據文件：
go test -fuzz=FuzzDiv -run=FuzzDiv/378303d09d9499e4e6c708a92079f30db6f554529fd9eb86ac9a9639481fb23d目前 Golang 的模糊測試支持被測函數使用的參數類型如下：
[]byte, string, bool, byte, rune, float32, float64, int, int8, int16, int32, int64, uint, uint8, uint16, uint32, uint64
單元測試需要開發者根據函數邏輯，給定一組或幾組輸入和輸出數據，然后調用被測試函數執行，若返回值與輸出數據一致，則說明函數測試通過。因為用于測試的數據是開發者提供的，難免會有遺漏的測試場景，因此即使單元測試通過，并不能說明程序是健壯的。而模糊測試是通過數據構造引擎自動構造出大量隨機數據作為函數的輸入參數，可以充分測試函數的健壯性。
本文鏈接：http://m.www897cc.com/showinfo-26-142-0.html一文掌握 Golang 模糊測試（Fuzz Testing）
聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。郵件：2376512515@qq.com
上一篇： 虛擬鍵盤 API 的妙用
Copyright ? 2016-2023 天津谷騏科技有限公司 版權所有 sitemap.xml
違法及侵權請聯系：2376512515@qq.com 津ICP備18001702號
津公網安備 12010102000574號