Clang污点分析YAML配置文件在clang-tidy/scan-build中的使用问题

问题背景 #

已知Clang静态分析器支持通过YAML文件定义污点源、汇，但在实际使用中遇到三个问题：

• 使用scan-build时找不到指定YAML配置的选项
• 将YAML内容直接写入.clang-tidy时，clang-tidy报错无法识别Propagation键
• 用clang-17的clang-tidy运行alpha.security.taint.TaintPropagation检查时，因未正确配置源汇而无分析结果

测试代码中，需要标记update_len_value的参数为污点源，update_len_here的参数为污点汇。

解决方案 #

核心前提 #

Clang污点分析的YAML配置不能直接嵌入.clang-tidy文件，二者格式不兼容。必须单独创建YAML配置文件，再通过特定参数传给分析工具。

1. 给scan-build指定配置 #

scan-build通过-analyzer-config参数传递污点分析的配置文件路径，命令示例：

scan-build -enable-checker alpha.security.taint.TaintPropagation \
  -analyzer-config alpha.security.taint.TaintPropagation:ConfigPath=./taint-config.yaml \
  clang ../llvmTaintAnalysis.c

注意：

• 必须显式启用alpha.security.taint.TaintPropagation检查器
• 配置路径的参数键格式为检查器名称:ConfigPath=文件路径

2. 给clang-tidy指定配置 #

clang-tidy同样支持-analyzer-config参数，有两种使用方式：

方式一：命令行直接指定

clang-tidy -checks=alpha.security.taint.TaintPropagation \
  -analyzer-config alpha.security.taint.TaintPropagation:ConfigPath=./taint-config.yaml \
  ../llvmTaintAnalysis.c

方式二：通过.clang-tidy间接引用

如果想统一管理配置，可以在.clang-tidy中用AnalyzerOptions字段嵌套污点分析配置，示例：

Checks: 'alpha.security.taint.TaintPropagation'
AnalyzerOptions:
  alpha.security.taint.TaintPropagation:
    ConfigPath: ./taint-config.yaml

3. 正确的污点配置YAML示例 #

针对你的测试代码，创建taint-config.yaml文件，内容如下：

Propagation:
  Sources:
    - Name: "update_len_value"
      Args: [0]  # 标记第1个参数（索引从0开始）为污点源
  Sinks:
    - Name: "update_len_here"
      Args: [0]  # 标记第1个参数为污点汇
  Sanitizers: []
  Propagators: []

• Args数组中的数字对应函数参数的索引（从0开始）
• 如果需要标记多个参数，可以添加多个索引，比如Args: [0,1]

验证效果 #

配置完成后重新运行命令，分析器应该能检测到污点从update_len_value参数传递到update_len_here参数，进而追踪到后续代码中数组越界的风险。

内容的提问来源于stack exchange，提问作者F1o0T