如何阻止CMake导出静态链接依赖的符号？

核心原因 #

GCC把静态库链接到共享对象时，默认会将静态库中所有全局符号导出到最终的SO里——哪怕这些符号来自OpenSSL这类第三方静态库。你之前设置的visibility=hidden只对自己代码中标记了__attribute__((visibility("default")))的符号生效，第三方静态库编译时没开启这个选项，所以它们的符号依然默认可见。

可行解决方案 #

1. 给依赖静态库开启符号隐藏（若能拿到源码） #

编译OpenSSL等依赖的静态库时，添加编译选项：

-fvisibility=hidden -fvisibility-inlines-hidden

这样静态库的符号默认都是隐藏的，只有你需要导出的符号（如果有的话）显式标记为可见，链接到共享库后就不会对外暴露。

2. 链接时用-Wl,--exclude-libs,ALL（最直接） #

不需要修改依赖源码，在CMake里给最终共享库加这个链接参数：

target_link_options(your_final_shared_lib PRIVATE
  "-Wl,--exclude-libs,ALL"
)

--exclude-libs,ALL会让链接器把所有静态库的符号标记为本地符号，不导出到SO的动态符号表。如果只想排除特定静态库，把ALL换成库名就行，比如-Wl,--exclude-libs,libcrypto.a。

3. 修正--version-script的用法 #

之前用version script出问题，大概率是规则写错了。正确的脚本应该只保留你自己的导出符号，隐藏其他所有符号：
创建version.script文件：

{
  global:
    # 列出你需要对外暴露的API符号
    your_api_func1;
    your_api_func2;
    # C++符号要写mangled后的名字，或者用命名空间/类限定
    YourNamespace::YourClass::*;
  local:
    # 隐藏所有其他符号
    *;
};

然后在CMake中添加链接选项：

target_link_options(your_final_shared_lib PRIVATE
  "-Wl,--version-script=${CMAKE_CURRENT_SOURCE_DIR}/version.script"
)

注意：如果单元测试依赖了内部符号，version script会把这些符号也隐藏，导致测试失败。这种情况要么给测试目标单独设置链接规则，要么在脚本里为测试额外开放符号。

4. 调整--retain-symbols-file的使用姿势 #

这个选项需要你明确列出所有要保留的符号，文件每行一个符号。之前无效可能是符号名写错（比如C++的mangled名字没对应），或者链接顺序不对。要确保这个选项放在链接命令最后：

target_link_options(your_final_shared_lib PRIVATE
  "-Wl,--retain-symbols-file=${CMAKE_CURRENT_SOURCE_DIR}/retain_symbols.txt"
)

retain_symbols.txt示例：

your_api_func1
_ZN12YourNamespace10YourClass8yourFuncEv  # C++ mangled符号

验证方法 #

链接完成后，用nm命令检查SO的动态符号表，确认依赖符号是否被隐藏：

nm -D your_final_lib.so | grep -E "CRYPTO_|OPENSSL_"

如果没有输出，说明符号已经成功隐藏。

内容的提问来源于stack exchange，提问作者Tejas Pendse