Trail of Bits 发布 Rust 安全测试手册章节及 rust-review 插件

Paweł Płatek 2026年7月13日 testing-handbook , rust , application-security 页面内容 本章内容 仍在氧化 我们为《测试手册》新增了一章：一份关于 Rust 程序安全测试的全面指南。本章涵盖我们在 Trail of Bits 用于验证 Rust 程序和系统安全性时所使用的工具与技术。

fn main () {( | f: & dyn Fn ( u128 )-> Box + 'static >| f( * [ & ( 0x7B736D70683F73 u128 > 63 ) as usize ]) .for_each( | c | print! ( " {c} " )))( Box ::leak( Box ::new( | n: u128 | Box ::new(std::iter::successors( Some (n), |& n | Some (n >> 8 ) ).take_while( |& n | n > 0 ).map( | n | ((n as u8 ) ^ 0x1F ) as char )) as _)))} 本章内容 本章首先从安全角度概述 Rust 的保证涵盖与不涵盖哪些方面，包括一些未受足够重视的问题，如展开安全（unwind safety）、非确定性和算术错误。随后引出动态分析概述，涵盖一系列单元测试增强工具、如何使用 Miri 检测未定义行为、使用 proptest 进行属性测试、覆盖率测量以及变异测试。静态分析部分则深入介绍 Clippy，包括我们最喜爱的 lint 列表。

除工具之外，本章还涵盖了我们直接审计 Rust 代码库所学到的经验。我们的陷阱与易错点清单是人工代码审查的绝佳参考，能帮助你发现诸如 & a == c 的运算符优先级与 C 语言不同之类的细微问题。内存清零部分针对确保机密信息从内存中擦除这一棘手问题提供了三种解决方案。

最后，专项测试部分涵盖 Kani（一种模型检查器）等工具，供应链部分则涵盖用于审查依赖项的完整工具链。

我们还发布了 rust-review，这是一个用于自动化 Rust 安全审查的 Claude Code 插件。它与 Aptos Labs 联合打造，针对十余类 bug，从内存安全和并发隐患到 FFI 陷阱和异步取消问题。这是在 Rust 代码库进入审计之前快速发现安全问题的一种方式。

X LinkedIn GitHub Mastodon Hacker News 相关文章 借助我们的《测试手册》新章节精通模糊测试 2024年2月9日 Trail of Bits《测试手册》的最新增补内容是一份关于模糊测试的全面指南：一项必不可少、行之有效的……