动态污点跟踪

标签是随值移动的便签 ​

如果字段a标为“表单”，字段b标为“数据库”，则a+b的结果同时带两个便签。把这个结果复制给t，便签一同复制；随后t:=0产生全新的常量值，旧便签被覆盖。一个名字曾经带过标签，并不意味着它永远带着标签。

便签记录哪些读值参与了计算，未必记录哪些输入真正能改变最终答案。计算h-h读取h两次，依赖图仍含h来源；数学上两项却总会抵消。这正是执行依赖与语义敏感性不同的地方。

两个来源和一次覆盖 ​

设a=3、b=4，$\tau (a)=\{A\}$、$\tau (b)=\{B\}$，执行：

t := a + b
u := t - a
t := 0
out := u

第一步t=7，标签$\{A,B\}$。第二步u=4，标签仍为$\{A,B\}$，因为它从t和a读值；化简后的数学表达式其实等于b，但这套并集规则不做抵消推理。第三步t变成0且标签为空，u仍指向先前的计算结果。最终out=4，标签$\{A,B\}$。若sink只允许B，本次检查拒绝；这是相对于语义依赖的保守标记，而不是值算错。

空标签仍可能泄漏秘密 ​

if h then out := 1 else out := 0

两支右端都是常量，因此h=0和h=1时out标签都为空，sink检查都会通过；公开值却分别是0和1。秘密经由“选了哪个赋值”流动，执行数据图没有记录这类边。

动态信息流监测理路动态信息流监测Dynamic information-flow monitor · No-sensitive-upgrade and permissive-upgrade用pc、禁止敏感升级与部分泄漏标记约束实际执行，并证明可接受低结果的两运行保证。另外维护pc及敏感升级状态，目标是限定双运行之间可观察的差异。两者的差别在于承诺：来源分析返回执行数据来历，安全监测要说明不同秘密运行为何不能产生两个不同的可接受低结果。简单把守卫标签并入被执行赋值，也不足以自动得到后者的定理。

未标记来源和遗漏操作 ​

若h根本未列入来源，out:=h也得到空标签。正确传播不能补救错误的来源配置。若语言扩展为指针读写或数组索引，还必须说明地址依赖、别名和内存粒度如何影响传播；固定名字的规则不能直接覆盖这些新操作。

运行成本和可复算接口 ​

把q个来源存为位集，令$b=1+\lceil q/w\rceil$，w为机器字位宽。一次并集或包含检查最坏$O(b)$；加1包含q=0时读取指令与检查空集合的基础工作。设源语法大小为A，实际从命令栈分派K次（包括seq容器），访问了E个表达式节点，则包含输入验证的时间为$O(A+(K+E+v)b)$，当前标签空间$O(vb)$，v是变量数。表达式栈另随最大表达式大小增长，命令栈另随源程序大小增长；整数算术位成本不包含在标签界内。

下载解释器用整数位掩码表示来源，sources参数指定每个初始变量的掩码。它不必保存完整事件图即可传播标签；若为了说明原因而存图，还需要按事件节点与边计额外空间。trace=True记录实际赋值和分支，日志每条还存标签掩码，不能视为零成本。

终点要求同时交出值、来源集合及不同秘密的两次结果。三者放在一起，才能发现“sink通过”究竟验证了哪一种政策。

结构迁移 ​

在两来源主例中，将第二句改成u:=b，其余不变。最终值还是4，但标签从$\{A,B\}$变成$\{B\}$，只允许B的sink现在通过。再把out改成if a then out:=u else out:=0，out的标签在两条分支分别为$\{B\}$与空集；sink仍通过，却无法据此排除关于A的控制泄漏。验收需要重画实际事件边，指出哪条边消失、哪类边从未建立。