静态污点分析需手动标注污染源、传播路径和汇聚点，Clang等工具默认不启用或仅有限支持；须用__attribute__((annotate("taint_source")))标记输入函数，确保返回值被使用，并启用security.insecureAPI检查器验证sink告警。
静态污点分析不是“打开开关就能用”的功能，它需要明确标记污染源（source）、传播路径（taint propagation）和汇聚点（sink），否则工具根本不知道该追踪什么。Clang Static Analyzer 和 PVS-Studio 等主流工具支持污点分析，但默认不启用或仅对有限 API 建模；你得主动告诉它：哪些函数返回不可信数据、哪些操作会传播污染、哪些调用是危险终点。
怎么标记不受信输入为污点源（Source）
Clang 不提供类似 Java 的 @Tainted 注解，所以必须靠函数签名建模。常见做法是用 __attribute__((annotate("taint_source"))) 手动标注你项目中接收外部输入的函数：
char* get_user_input() __attribute__((annotate("taint_source")));
int recv_from_socket(int fd, void* buf, size_t len, int flags)
__attribute__((annotate("taint_source")));
若用 Clang Static Analyzer，还需在调用这些函数时确保其返回值被实际使用——否则分析器可能因死代码消除而跳过整条路径。PVS-Studio 则依赖内置规则库（如 V595、V773）自动识别部分标准函数（fgets、scanf、recv），但自定义协议解析函数仍需手动注册。
为什么 strcpy/strcat 会被报污点传播但 std::string 不会
因为污点传播规则是基于内存拷贝行为建模的，不是语言特性本身。Clang SA 内置了对 C 风格字符串函数的污点传播逻辑：
立即学习“C++免费学习笔记（深入）”；
-
strcpy(dst, src)：若src是污点，则dst整体变为污点 -
memcpy(dst, src, n)：同理，按n字节传播 -
std::string构造或赋值：默认不在 Clang SA 的传播规则集中，除非你用插件扩展 AST 匹配逻辑
这意味着，哪怕你把 char* 封装进 std::string，只要没显式触发带污点标记的构造函数（如自定义 explicit StringFromTainted(const char*)），分析器就认为“污染已中断”。这不是安全增强，而是规则缺失。
如何验证污点是否真正传播到了危险汇点（Sink）
最直接的方式是写一个最小可复现片段，强制触发已知高危调用：
void sink_example() {
char* user = get_user_input(); // 被 annotate 标记
char buf[256];
strcpy(buf, user); // 污点传播发生
system(buf); // 这里应触发 V1042 或类似告警：tainted data passed to system()
}
运行命令：clang++ -std=c++17 --analyze -Xanalyzer -analyzer-checker=core,security.insecureAPI system test.cpp。注意两点：
- 必须显式启用
security.insecureAPI检查器，否则system()不会被视为 sink -
system()、execve()、printf("%s", x)等函数在 Clang 中有预置 sink 模型；但open(x, ...)或自定义日志函数不会，除非你写 RuleSet 插件
误报率高？先检查这三件事
污点分析误报多，往往不是工具问题，而是建模不匹配：
- 忘了给中间转换函数加
__attribute__((annotate("taint_propagation")))——比如你写了char* sanitize(char* s)，但没标注，分析器就认为污染在此终止 - 用了
strncpy却没保证目标缓冲区以\0结尾，导致后续strlen分析失败，整条路径被丢弃 - Release 编译下内联展开让函数边界模糊，Clang SA 默认只做 intra-procedural 分析；跨函数传播需开启
-Xanalyzer -analyzer-config xtu-use-sarif=true并配合 SARIF 报告链路还原
真实项目里，80% 的“污点没传过去”问题，其实出在 source 标注漏了、sink 没启用、或者传播路径上有未建模的指针运算（比如 p + offset 直接绕过了 strcpy 规则）。别急着调参，先用 -Xanalyzer -analyzer-display-progress 看它到底分析到了哪一层函数。
