[论文解读] Gobra: Modular Specification and Verification of Go Programs (extended version)

Felix A. Wolf, Linard Arquint+4 more|arXiv (Cornell University)|May 28, 2021

Logic, programming, and type systems参考文献 21被引用 1

一句话总结

Gobra 是一个用于 Go 的模块化、演绎式验证器，支持使用分离逻辑对内存安全、崩溃安全、数据竞争自由以及用户自定义规格进行形式化验证。它将带注解的 Go 程序转换为 Viper 中间验证语言，并利用基于 SMT 的验证技术，支持 Go 的独特特性，如接口、切片、通道以及结构子类型，且注解开销低、在真实代码库中性能优异。

ABSTRACT

Go is an increasingly-popular systems programming language targeting, especially, concurrent and distributed systems. Go differentiates itself from other imperative languages by offering structural subtyping and lightweight concurrency through goroutines with message-passing communication. This combination of features poses interesting challenges for static verification, most prominently the combination of a mutable heap and advanced concurrency primitives. We present Gobra, a modular, deductive program verifier for Go that proves memory safety, crash safety, data-race freedom, and user-provided specifications. Gobra is based on separation logic and supports a large subset of Go. Its implementation translates an annotated Go program into the Viper intermediate verification language and uses an existing SMT-based verification backend to compute and discharge proof obligations.

研究动机与目标

• 为解决具有接口和通道等高级特性的并发、堆内存操作型 Go 程序的验证挑战。
• 提供一个模块化验证框架，支持 Go 中的功能正确性和安全属性。
• 通过 Go 接口实现结构子类型的可靠推理，这一特性在以往的验证器中尚未支持。
• 在真实 Go 代码（如 SCION 网络架构）上实现实际的验证性能。

提出的方法

• 使用自定义前端将带注解的 Go 程序转换为 Viper 中间验证语言。
• 采用带分数权限、递归谓词和量化权限的分离逻辑，以推理堆分配数据结构。
• 使用轻量级注解系统区分可寻址与不可寻址内存位置，实现高效编码。
• 应用基于 SMT 的验证后端以证明目标并报告原始 Go 源代码级别的验证失败。
• 支持一等谓词以指定锁等并发原语及其不变式，实现模块化推理。
• 对 Go 内置类型（如切片、通道、接口）进行可靠编码，同时保持模块化与抽象性。

实验结果

研究问题

• RQ1 如何有效扩展分离逻辑以支持通过接口实现的 Go 结构子类型？
• RQ2 如何设计一种可扩展且模块化的方法，对同时涉及堆内存操作和基于通道通信的并发 Go 程序进行验证？
• RQ3 Go 的演绎式验证框架是否能在非平凡的真实代码库上实现实际性能？
• RQ4 如何在保持复杂数据结构和并发模式的可靠性和表达力的前提下，最小化验证注解？

主要发现

• Gobra 有效验证了非平凡的 Go 程序，包括 SCION 网络架构的 Go 实现，证明了其实际适用性。
• 平均注解开销为每行代码 0.3 至 3.1 行规格，符合基于 SMT 的演绎验证器的典型水平。
• 每个示例的验证时间从不到一秒到约一分钟不等，并发代码因复杂规格导致开销较高。
• 该工具在原始 Go 代码级别报告验证失败，支持交互式调试与迭代优化。
• Gobra 是首个使用分离逻辑以模块化且可靠的方式支持 Go 接口和结构子类型的验证器。
• Viper 编码支持 Go 的全部内置类型，包括切片和通道，并对可寻址内存位置进行了高效处理。