Go fuzzing 怎么把随机输入约束在合法字节范围

Go 的 fuzzing 会持续生成随机输入，但“随机”不等于“符合业务格式”。如果被测函数只接受小写字母、数字和连字符，直接把任意 []byte 传进去，测到的往往是非法字符拒绝分支；想覆盖合法 token 的长度、位置和边界，就要在 fuzz target 中把输入域写清楚。

做法是保留 []byte 的长度和每个位置的变化，用固定字符表把字节映射成合法字符；需要测试非法输入时，再单独保留原始字节，不能用同一条路径代替。

先把随机输入与合法字节空间分开

testing.F 接受的 fuzz 参数有明确类型，[]byte 是最适合二进制或协议边界的入口。它代表“探索空间”，不代表业务输入已经通过校验。以 token 为例，合法字符表可以定义为小写字母、数字和连字符；长度则继续由随机字节切片长度决定。

这一步的关键不是“把所有输入变好”，而是明确本轮测试要回答什么：如果目标是合法 token 的解析和边界处理，就映射字符；如果目标是非法字符的拒绝逻辑，就不要映射。

用 f.Add 和字符表把输入映射到合法范围

下面的示例测试一个只接受 a-z、数字和连字符的 token。种子覆盖空值、单字符、分隔符和较长样本；fuzz 运行时保留随机输入长度，再把每个字节映射到合法字符表。

package token

import "testing"

const tokenAlphabet = "abcdefghijklmnopqrstuvwxyz0123456789-"

func legalToken(raw []byte) []byte {
	// 保留长度和位置变化，只把每个字节映射到合法字符表。
	out := make([]byte, len(raw))
	for i, b := range raw {
		out[i] = tokenAlphabet[int(b)%len(tokenAlphabet)]
	}
	return out
}

func FuzzDecodeToken(f *testing.F) {
	// 种子类型必须与 f.Fuzz 的 []byte 参数一致。
	f.Add([]byte("user-01"))
	f.Add([]byte("a"))
	f.Add([]byte("-"))
	f.Add([]byte{})

	f.Fuzz(func(t *testing.T, raw []byte) {
		input := legalToken(raw)
		got, err := DecodeToken(string(input))
		if err != nil {
			t.Fatalf("合法 token 被拒绝: %q: %v", input, err)
		}
		if !isLegalToken(got) {
			t.Fatalf("DecodeToken 返回了非法 token: %q", got)
		}
	})
}

这里不要在 f.Add 中传字符串、在 f.Fuzz 中接收 []byte；两者类型不一致会让 fuzz 测试在启动阶段就失败。映射函数也不应复用全局可变缓冲区，否则 fuzz target 的并发调用可能互相污染。

合法域和非法输入要用两条测试路径

如果把任意字节都映射成合法字符，解析器对非法字节的处理就不会被覆盖。建议再写一条保留原始输入的 fuzz 测试，断言函数只能返回明确错误或合法结果，不能 panic。必要时可以先过滤超长样本，但过滤条件要与本次问题边界一致。

func FuzzDecodeTokenRejectsBadBytes(f *testing.F) {
	f.Add([]byte{'a', 0x00, 'b'})
	f.Add([]byte{0xff, 0xfe})

	f.Fuzz(func(t *testing.T, raw []byte) {
		// 这里故意保留原始字节，专门覆盖非法输入边界。
		got, err := DecodeToken(string(raw))
		if err == nil && !isLegalToken(got) {
			t.Fatalf("无错误但结果非法: %q", got)
		}
	})
}

两条路径的断言不同：合法域测试关心正常结果和长度边界，非法输入测试关心拒绝方式、错误稳定性和 panic 风险。这样不会为了追求“全是合法输入”而掩盖校验器本身的问题。

运行、复现与失败样本怎么处理

先运行普通测试，让 f.Add 和 testdata/fuzz/FuzzDecodeToken 中的种子成为可重复回归；确认通过后，再指定 fuzz 目标和时间预算探索随机输入：

# 先只跑种子，快速确认样本和断言稳定
go test -run=FuzzDecodeToken

# 再探索随机输入，时间按本地或 CI 预算调整
go test -fuzz=FuzzDecodeToken -fuzztime=30s

当 fuzz target 失败时，Go 会把导致失败的输入保存到对应的 fuzz corpus 目录。之后不带 -fuzz 的普通 go test 也会重新执行它，因此失败样本就是回归测试。若修复后仍不稳定，优先检查输入是否被原地修改、是否依赖全局状态，以及长度上限是否在代码和测试中保持一致。

最终检查清单很短：fuzz 参数和种子类型一致；合法域与非法域没有混用；每个 fuzz target 只有一次 f.Fuzz；测试函数快速、确定且不保存可变输入；失败 corpus 被纳入版本控制。

常见问题

为什么 f.Add 的种子仍然要放几个边界值？

随机探索不是边界样本的替代品。空切片、单字符、分隔符和最大长度附近的样本能在普通 go test 中稳定回归，也能给 fuzz 引擎提供更有价值的起点。

能不能直接在 fuzz target 里跳过所有非法字节？

可以，但那只适合本轮明确测试合法域的目标。若还要验证错误返回、拒绝策略或解析器的健壮性，应保留原始字节另写 fuzz target。

为什么只改字符表映射不等于限制了所有输入？

映射只限制字符集合，长度仍可能为零、很长或处在实现边界。长度上限应由被测函数的业务规则单独处理，并在测试中留下对应的边界样本。