ossfuzz

ossfuzz 技能概览

OSS-Fuzz 是一项用于通过 ossfuzz toolchain 搭建持续 fuzzing 的工作流技能，也用于理解项目是如何在 OSS-Fuzz 生态中被纳入、构建和运行的。如果你需要把“我们应该给它做 fuzz”推进到一套可落地的方案，涵盖 harness、构建文件和项目提交流程，那么就该使用 ossfuzz 技能。

ossfuzz 技能适合谁

这项技能适合维护者、安全工程师，以及需要实用 OSS-Fuzz 指导、而不是泛泛 fuzzing 入门介绍的偏构建型开发者。它尤其适合正在准备项目接受审查、想在本地复现 fuzzing 环境，或者评估某个代码库是否适合作为 fuzzing 候选的人。

它能帮你做什么

它真正要解决的问题，是把一个源码树变成一个可 fuzz、且构建可重复的项目。ossfuzz 指南会帮助你识别所需文件、本地 helper 工作流，以及通常会阻碍落地的限制，比如缺少构建脚本、依赖关系不清晰，或者没有可用的 harness 入口点。

为什么这个技能不一样

和一个通用的 fuzzing 提示不同，ossfuzz 绑定的是一套特定的运行模型：项目配置、容器化构建、helper 命令，以及 OSS-Fuzz 的提交流程预期。这让它在 ossfuzz for Security Audit 场景下更有决策价值，因为你需要判断准备度、覆盖缺口，以及项目在初始搭建后是否还能持续维护。

如何使用 ossfuzz 技能

安装 ossfuzz 并打开正确的文件

通过你的 skills manager 走 ossfuzz install 流程，然后先阅读 plugins/testing-handbook-skills/skills/ossfuzz 里的 SKILL.md。由于这个技能没有额外脚本或引用，核心价值在于仔细读懂主体 markdown，并在提问前把它对应到你的仓库结构上。

给技能一个具体的 fuzzing 目标

高质量的 ossfuzz usage 一定从具体目标开始，而不是笼统请求。说明你要 fuzz 的仓库、语言、构建系统和入口点，并补充那些会影响可构建性的关键信息：编译器/toolchain、容器限制，以及你需要的是本地验证还是 OSS-Fuzz 提交准备。

示例输入格式：

• 项目：libpng
• 目标：为 PNG decode 路径增加一个 parser harness
• 约束：只能 Docker build、不能联网、兼容 CI
• 需要的输出：harness 方案、project.yaml 说明，以及可能的构建阻塞点

从仓库契约出发

在提问前，先检查项目当前已经使用的构建和测试路径。对 ossfuzz 来说，这通常意味着先定位定义项目“今天是怎么编译的”的那些文件，再把它翻译成 fuzzing 构建。如果仓库里已经有自定义构建脚本、CI matrix 或容器设置，也要一并提供给技能，这样它就不会凭空生成一套不兼容的工作流。

用工作流式提问，而不是一句话带过

一个好的 ossfuzz guide 提示，应该同时要求步骤和输出形态。例如：“请检查这个项目是否适合 OSS-Fuzz，找出最合适的 fuzz target 候选，给出一个最小可行的 harness 方案，列出需要的构建改动，并标记任何可能导致 OSS-Fuzz 接受失败的点。” 这样的提法能直接给你下一步可执行结果，而不是一段泛泛解释。

ossfuzz 技能 FAQ

ossfuzz 只适合能加入 Google OSS-Fuzz 的项目吗？

不是。ossfuzz 技能既涵盖 OSS-Fuzz 入驻思路，也覆盖更广义的持续 fuzzing 模式。即使你的项目不会被上游接受，这些指导仍然能帮助你搭建私有的持续 fuzzing 环境。

ossfuzz 对新手友好吗？

只有在你已经知道想 fuzz 哪条代码路径时，它才算对新手友好。这项技能不能替你选择 harness 目标，也不能替你理解构建系统；所以，新手如果先提供一个小而具体的范围，并要求先做准备度检查，通常效果会更好。

这和普通 fuzzing 提示有什么不同？

普通提示可能只会从通用角度讲 fuzzing。ossfuzz 技能更适合你需要可构建、且和仓库强相关的输出：项目文件、基于 helper 的工作流，以及决定方案能否在 CI 或 OSS-Fuzz 基础设施上跑通的现实约束。

什么时候不该用 ossfuzz？

如果你只需要一个 fuzzing 的高层解释，或者你的项目还没有稳定的构建路径、也还没准备好定义 harness 入口点，那就不要用它。在这种情况下，应该先把构建和测试面整理好，再回到 ossfuzz 做实施规划。

如何改进 ossfuzz 技能

先把 harness 边界说清楚

最好的结果来自于你明确告诉技能：到底要 fuzz 哪个 parser、codec、protocol handler 或 API surface。如果边界模糊，输出就会滑向宽泛建议，而不是聚焦、可执行的搭建方案。

提供构建与环境约束

在 ossfuzz for Security Audit 场景下，最有价值的输入不只是目标代码本身，还包括会影响可复现性的约束：支持的操作系统、Docker 可用性、依赖限制、网络访问情况，以及 sanitizer build 是否已经能正常工作。这些信息能让技能产出一套真正能落地的方案，而不是纸面计划。

要求列出阻塞点，而不只是步骤

一个很强的追问是：“这个 OSS-Fuzz 方案会在哪些地方失败？” 这会推动技能暴露缺失库、不受支持的语言特性、不稳定测试，或者依赖全局状态的 harness。很多时候，这些阻塞点比顺利路径的操作说明更有价值。

从一个最小目标开始迭代

先从一个 parser 或一个入口点入手，等构建真正跑通后再扩展。如果第一轮失败，把失败输出回传给 ossfuzz 技能，再让它给你更窄的修复清单、构建文件修正，或者替代的 harness 策略。