Go fuzz 最小化输入为什么仍然无法复现

Go fuzz 输出了一个“最小化失败输入”，但你把它复制出来再跑，却没有复现，最常见的原因不是 corpus 损坏，而是回放方式、代码版本或 fuzz target 的确定性出了问题。先用失败日志里的完整测试名回放，再确认 testdata/fuzz/FuzzXxx 文件被当前包加载；如果仍然不稳定，优先排查时间、随机数、全局状态和外部依赖。

先确认失败输入到底有没有被当前测试回放

Go 的失败日志通常会给出两样关键信息：失败文件所在的 testdata/fuzz/FuzzReverse，以及带哈希的回放名。不要只把输入值复制到另一个单元测试里，因为这样可能绕过了原来的 FuzzXxx 和参数组合。

package fuzzdemo

import "testing"

func FuzzParse(f *testing.F) {
    f.Add("seed") // 用稳定的初始样例建立 seed corpus
    f.Fuzz(func(t *testing.T, input string) {
        // fuzz target 只依赖当前输入，不读取全局可变状态
        if input == "" {
            t.Skip("空字符串不属于本例的解析范围")
        }
        parse(input)
    })
}

如果日志中出现 FuzzParse/abc123...，先在包目录执行下面的命令。它只回放这一条 corpus 条目，便于判断“输入本身不能复现”还是“普通测试根本没有跑到它”。

# 只回放日志中的具体失败条目
go test -run='FuzzParse/abc123'

# 确认该 fuzz 测试的所有 seed corpus 都能被普通测试发现
go test -run='^FuzzParse$'

再检查三件事：命令所在目录是不是包含目标 go.mod，失败文件是不是放在对应的 testdata/fuzz/FuzzParse 目录，fuzz target 的参数类型和顺序有没有改过。比如原来是 string，后来改成 []byte，旧 corpus 就不能按原语义直接解释。

最小化失败通常暴露的是不确定性

Go 会尝试把失败输入缩小到仍然触发错误的形式，但它依赖每次执行得到相同的失败判定。若 target 读取当前时间、调用随机数、修改包级变量、访问网络或依赖外部文件，第一次缩小得到的输入可能在第二次执行时走到另一条路径。

可以把 fuzz target 收敛成“输入加明确依赖”的函数，先把外部因素变成参数或固定替身：

func FuzzNormalize(f *testing.F) {
    f.Add([]byte("A\\nB")) // []byte 类型必须与 Fuzz 参数完全一致
    f.Fuzz(func(t *testing.T, raw []byte) {
        // 不在这里读取 time.Now、全局缓存或网络响应
        got, err := normalize(raw, fixedOptions())
        if err != nil {
            t.Skip("非法输入由 normalize 明确拒绝")
        }
        if !isCanonical(got) {
            t.Fatalf("结果不是规范形式: %q", got)
        }
    })
}

调整最小化时间后，再把 corpus 当成回归测试

-fuzzminimizetime 控制发现失败后用于最小化的时间。把它调大只能增加尝试机会，不能修复不确定的 target；设为 0 则关闭最小化。更稳妥的顺序是先让哈希回放连续成功，再选择合适的最小化时间生成 corpus。

# 限制探索时间，并给失败输入留出较充分的最小化时间
go test -fuzz='^FuzzParse$' -fuzztime=30s -fuzzminimizetime=20s

# 修复代码后，普通测试会自动运行 testdata/fuzz/FuzzParse 中的失败样例
go test -run='^FuzzParse$'

确认回放稳定后，不要手工改写 corpus 文件中的编码或参数顺序。先提交生成的文件，再把它当作一个普通回归样例维护；如果代码改动后它不再失败，这是好结果，但仍应保留测试，避免同一问题回归。

常见问题

为什么只运行 go test 看不到 fuzz 过程？

普通 go test 只执行 seed corpus 和已有失败样例，不会持续生成随机输入。持续探索需要显式传入 -fuzz。

最小化输入是不是一定最短？

不是。它是在限定的尝试时间和当前失败判定下找到的可复现较小输入，不能理解成所有机器、所有版本上的全局最优解。

为什么复制字符串值后仍然不一样？

字符串值可能没有保留多个 fuzz 参数、字节序列或 corpus 编码；同时，复制值也可能绕开原来的 target。优先用日志给出的完整回放名确认问题。

排查这类问题时，顺序应固定为“精确回放、核对 corpus、固定依赖、再调最小化时间”。只要同一输入在同一代码版本中稳定触发，Go fuzz 生成的失败文件就能从一次探索结果变成长期回归测试。