“滥用Keychain Services API”分析发现了哪些错误？

Question

Xcode 4.6的构建设置标记为“滥用钥匙串服务API”，也就是CLANG_ANALYZER_SECURITY_KEYCHAIN_API。快速帮助无用：

检查是否滥用了钥匙串服务API。

因此，Clang静态分析仪在这种情况下寻找什么样的“误用”？

Answer 1

它旨在确保由Keychain Services API中的函数分配的内存由调用方以正确的方式释放。例如，SecKeychainFindGenericPassword通过输出参数返回密码数据。调用者需要通过SecKeychainItemFreeContent而不是像free这样的替代API来释放此数据。未能使用正确的API可能会将敏感数据（例如密码）留在内存中。

如果您对更多细节感兴趣，可以在LLVM SVN repository中看到此检查器的实现。

Answer 2

评论中the source code解释说：

// This checker flags misuses of KeyChainAPI. In particular, the password data 
// allocated/returned by SecKeychainItemCopyContent, 
// SecKeychainFindGenericPassword, SecKeychainFindInternetPassword functions has 
// to be freed using a call to SecKeychainItemFreeContent. 

它似乎并没有做任何事情比这更花哨。