Go fuzz 测试怎样定位导致崩溃的最小输入

Go fuzz 测试发现崩溃后，最有价值的线索通常不是终端里那一行 panic，而是输出末尾的失败样本路径。Go 的 fuzzing engine 会尝试把触发错误的输入最小化，并把它写入对应的 testdata/fuzz/FuzzDecode 目录。拿到这个文件后，再用 go test -run 精确重放，就能从“随机崩溃”进入可重复的回归测试。

官方资料：https://go.dev/doc/security/fuzz/

下面用一个解码函数作为示例。示例只说明定位顺序，不把未执行的输出当成运行证据。

先把 fuzz target 的输入边界写清楚

一个可定位的 fuzz 测试至少要有 FuzzXxx(*testing.F) 入口、一个 f.Fuzz 目标，以及与目标参数类型一致的种子数据。这里让目标接收 []byte，这样失败文件可以直接表达原始字节。

func FuzzDecode(f *testing.F) {
    // 种子只负责覆盖正常输入和一个边界输入，不代替 fuzzing。
    f.Add([]byte("ok"))
    f.Add([]byte{0x00})

    f.Fuzz(func(t *testing.T, data []byte) {
        // 被测函数应尽量保持快速、确定，不把状态泄漏到下一次调用。
        _, err := Decode(data)
        if err != nil {
            // 示例只把非法输入当作可预期错误，不让错误本身变成崩溃。
            t.Skip()
        }
    })
}

定位问题时先看这几个边界：入口函数是否命名为 FuzzXxx，参数是否只使用 Go 支持的 fuzz 类型，f.Add 的类型和顺序是否与 f.Fuzz 完全一致，以及目标函数是否依赖全局可变状态。任何一项不清楚，失败样本都会变得难以解释。

用有限时间运行，并盯住失败样本路径

排查时不要一上来让 fuzzing 无限运行。先给一个可控的时间窗口，让这次运行容易记录，也方便在同一环境下重复。

# 只运行匹配的 fuzz 测试，并限制本轮搜索时间。
go test -fuzz=FuzzDecode -fuzztime=30s ./...

如果遇到 panic、t.Error、超时等失败，输出末尾通常会出现类似下面的路径：

Failing input written to testdata/fuzz/FuzzDecode/9f3...
To re-run:
go test -run=FuzzDecode/9f3...

这里真正需要保存的是完整的样本文件名和重放命令。不要只复制 panic 文本，因为 panic 只能告诉你症状，失败样本才包含触发条件。Go 会在失败后尝试最小化输入；“最小”是仍能保留错误的较小、较易读值，不等于业务上最短的合法数据。

用 go test -run 把随机崩溃变成单样本问题

拿到输出里的完整正则后，先只重放这个样本：

# 使用 fuzzing engine 给出的完整子测试名，避免重新搜索其它输入。
go test -run='FuzzDecode/9f3...' ./...

重放成功说明样本已经被保存在种子语料位置；如果仍然失败，就可以把调试重点收窄到 Decode 接收的字节边界、错误处理和状态清理。若命令匹配不到，通常是复制时省略了哈希后缀、当前包路径不对，或样本文件没有留在该 fuzz 测试的 testdata/fuzz/FuzzDecode 目录。

这里要区分两种命令：-fuzz=FuzzDecode 会继续生成和变异输入；-run=FuzzDecode/哈希 只针对已经发现的失败样本。定位崩溃时先用后者，避免新的随机输入干扰判断。

修复后让样本继续承担回归测试

失败样本写入 testdata/fuzz/FuzzDecode 后，会成为该 fuzz 测试的种子语料。普通的 go test 也会默认执行这些种子，因此修复代码后应先跑普通测试，确认原来的边界不再崩溃，再视需要重新开启 fuzzing 寻找新的路径。

# 修复后先回放全部种子，确保旧问题不会回归。
go test ./...

# 确认旧样本稳定后，再用新时间窗口继续寻找其它边界。
go test -fuzz=FuzzDecode -fuzztime=2m ./...

生产代码里，fuzz target 还应保持快速、确定，并避免依赖会跨调用残留的全局状态。Go 的 fuzz target 可能在多个 worker 中并行、以非确定顺序执行；如果每次调用没有清理临时状态，失败样本就可能难以稳定复现。

常见误区与速查

记住一条顺序就够了：先读 failing input 路径，再用 -run 精确重放，修复后保留样本并用普通 go test 回归。这样 Go fuzz 测试找到的崩溃才会从一次随机事件变成一条长期有效的测试保护。

相关问题

为什么 fuzz 测试跑起来像普通单元测试？

不带 -fuzz 时，Go 会按普通测试方式执行种子语料；只有显式指定 -fuzz=FuzzXxx 才会进入持续变异输入的 fuzzing 模式。

失败输入一定只有一个字节吗？

不一定。最小化会尽量缩短仍能触发错误的输入，但结果取决于目标逻辑和错误类型，不能把它理解成固定长度的样本。