当前位置：首页 > 文章列表 > Golang > Go问答 > 模糊测试中时间与随机数依赖的确定性改造

模糊测试中时间与随机数依赖的确定性改造

来源：17golang原创 2026-10-10 16:35:34 0浏览收藏

Go fuzz 测试保存了失败输入，并不等于失败一定能重现。只要被测路径还直接读取 time.Now()、包级 rand.Intn 或跨调用全局状态，同一个 corpus 条目就可能在下一次运行时走进另一条分支。

确定性改造的核心是把“隐藏环境”变成显式输入：时间由可注入 Clock 提供，伪随机数来自每次调用独享的局部 Rand，固定时刻和随机种子随 fuzz 输入一起重放。

先找出失败语料没有记录的输入

Go 官方 fuzz 文档建议 target 保持快速且确定。原因不只是方便阅读日志：fuzz target 会被多个 worker 并行调用，调用顺序也不确定。如果一次调用修改了下一次调用会读取的状态，覆盖率、最小化和失败重放都可能受到干扰。

最常见的两个隐式输入是当前时间和包级随机生成器。它们会让失败路径出现三类漂移：

同一条记录在午夜、月末或过期边界两侧得到不同判定。
随机分支依赖进程中的生成器状态，单独重放失败条目时序列位置已经变化。
多个 worker 共享可变对象，结果开始依赖调度顺序而不是 corpus 内容。

失败语料、系统时钟、包级随机状态与业务规则的静态依赖边界图 — 图1：隐式依赖边界说明图。失败语料只记录显式参数，系统时钟和包级随机状态若仍直接连接业务规则，就会形成重放缺口；这是静态结构图，不是运行截图。

这里真正要保护的资产不是某个随机数字，而是“失败语料能够稳定指向同一个业务状态”。所以改造应从依赖边界入手，而不是在 target 里临时调用 rand.Seed 或等待某个时间点。

用窄接口隔离系统时钟和伪随机源

最小可用写法只需要暴露业务真正使用的方法。时钟只提供 Now，随机源只提供 Intn，生产环境再分别接入系统时间和局部伪随机生成器。

package offer

import (
    "errors"
    "math/rand"
    "time"
)

type Clock interface {
    Now() time.Time // 中文注释：只暴露业务需要的当前时刻
}

type RNG interface {
    Intn(n int) int // 中文注释：只暴露非安全场景的整数选择
}

type SystemClock struct{}

func (SystemClock) Now() time.Time {
    return time.Now() // 中文注释：生产环境在边界实现中读取系统时钟
}

type Service struct {
    clock Clock
    rng   RNG
}

func NewService(clock Clock, rng *rand.Rand) *Service {
    return &Service{clock: clock, rng: rng} // 中文注释：依赖由调用方一次性注入
}

func (s *Service) Pick(createdAt time.Time, ttl time.Duration, choices []string) (string, error) {
    if len(choices) == 0 {
        return "", errors.New("choices is empty") // 中文注释：空集合先返回稳定错误
    }
    if !s.clock.Now().Before(createdAt.Add(ttl)) {
        return "", errors.New("offer expired") // 中文注释：过期边界只依赖注入时刻
    }
    return choices[s.rng.Intn(len(choices))], nil // 中文注释：局部随机源选择合法索引
}

接口不要做成完整时间工具箱。方法越多，测试需要伪造的行为越多，也更容易把时区、计时器和睡眠混进同一个替身。对只做过期判断的函数，Now() time.Time 已经足够。

把固定时刻和随机种子纳入 fuzz 输入

测试端准备一个固定时钟，再把 offsetSeconds 和 seed 都交给 fuzz 引擎。这样 corpus 不仅记录业务字符串，也记录构造环境所需的参数。

type fixedClock struct {
    now time.Time
}

func (c fixedClock) Now() time.Time {
    return c.now // 中文注释：每次调用都返回语料重建出的固定时刻
}

func FuzzServicePick(f *testing.F) {
    f.Add("basic", int64(0), int64(1))     // 中文注释：有效期内的基础语料
    f.Add("expired", int64(120), int64(7)) // 中文注释：覆盖过期边界

    base := time.Date(2026, time.January, 1, 12, 0, 0, 0, time.UTC)
    choices := []string{"A", "B", "C"}

    f.Fuzz(func(t *testing.T, label string, offsetSeconds int64, seed int64) {
        // 中文注释：限制偏移范围，避免无关的极端 Duration 干扰目标边界
        offsetSeconds %= 24 * 60 * 60
        now := base.Add(time.Duration(offsetSeconds) * time.Second)

        localRand := rand.New(rand.NewSource(seed)) // 中文注释：每次 target 调用独享确定性状态
        svc := NewService(fixedClock{now: now}, localRand)
        got, err := svc.Pick(base, time.Minute, choices)

        if !now.Before(base.Add(time.Minute)) {
            if err == nil {
                t.Fatalf("label=%q: expired offer returned %q", label, got) // 中文注释：过期状态必须失败
            }
            return
        }

        if err != nil {
            t.Fatalf("label=%q: unexpected error: %v", label, err) // 中文注释：有效期内不应报错
        }
        if got != "A" && got != "B" && got != "C" {
            t.Fatalf("label=%q: result outside choices: %q", label, got) // 中文注释：断言业务不变量而非具体序列
        }
    })
}

这里不把某个 seed 必须产生“A”写成断言，因为测试真正关心的是结果必须来自候选集合。固定 seed 的作用是重建失败路径，而不是把标准库伪随机算法的具体序列变成业务契约。

fuzz corpus、固定时钟、局部随机源和业务不变量的静态结构图 — 图2：可重放语料结构图。corpus 同时承载业务值、时刻偏移和随机种子，fixedClock 与 localRand 在单次 target 内重建环境，断言只检查业务不变量；这是静态说明图，不是运行证据。

不要用包级 Seed 修补全局状态

math/rand 官方文档建议：需要已知种子对应确定序列时，使用 rand.New(rand.NewSource(seed)) 创建局部生成器。包级 rand.Seed 已弃用，而且自 Go 1.24 起默认不再改变全局生成器状态。即使在旧版本里它能改变状态，也不适合多个 fuzz worker 共享。

局部 *rand.Rand 默认不是并发安全对象。如果被测函数会启动 goroutine，不要把同一个实例同时交给多个 goroutine。更稳妥的方式是让每个 worker 从显式种子派生自己的实例，或者把随机值预先转换成普通参数。

依赖	稳定做法	容易漂移的做法
当前时间	注入 `Clock` 或直接传入 `time.Time`	业务深处直接调用 `time.Now()`
伪随机选择	每次 target 创建局部 `*rand.Rand`	调用包级 `rand.Intn`
跨调用状态	在 target 内创建并销毁	复用全局 map、计数器或缓存
密码学随机	继续使用 `crypto/rand`，改测可验证属性	为可复现而替换成 `math/rand`

最后一条尤其重要：安全令牌、密钥或 nonce 不能为了测试方便改用可预测的伪随机源。此时应把编码、长度、唯一性处理等纯逻辑拆开测试；对熵源本身使用受控接口时，也必须保证生产实现仍连接 crypto/rand。

失败后只重放保存的 corpus 条目

Go fuzzing 在发现并最小化失败输入后，会把条目写入 testdata/fuzz/测试名/哈希。修复代码后，先用输出中给出的 -run 路径重放单条，再运行普通 go test；保存的失败条目会作为 seed corpus 继续参加回归。

# 中文注释：只重放工具输出中的那一条失败语料
go test -run='FuzzServicePick/失败条目哈希'

# 中文注释：确认全部 seed corpus 和普通测试一起通过
go test ./...

# 中文注释：修复稳定后再继续扩展新的输入空间
go test -fuzz=FuzzServicePick -fuzztime=30s

单条重放仍然偶发通过时，不要急着删除 corpus。先检查目标函数是否还读取系统时间、环境变量、临时目录、网络响应、全局随机数或未同步共享状态。失败输入不能独立重建这些条件，就说明确定性边界还没有封闭。