HHVMの型チェッカーを拡張する：カスタム属性を用いた静的解析の自動化
HHVMとHack言語のコアを知る者であれば、厳格な静的モード（`<<__Strict>>`）がいかに美しく、そして予測可能な実行時挙動をもたらすかを熟知しているはずだ。型チェッカー（`hh_client` / `hh_server`）は、ミリ秒単位のインクリメンタル解析によってAST（抽象構文木）を走査し、変数の型矛盾を完璧に排除する。
だが、大規模なドメイン駆動設計（DDD）や高度なセキュリティ境界（Security Boundaries）を構築する際、標準の型システムだけでは表現しきれない「意味論的な制約」に直面しないだろうか？
- 「このメソッドの引数は、暗号学的に安全にサニタイズされた文字列でなければならない」
- 「このエンティティのプロパティは、特定のトランザクションコンテキスト外で直接変更してはならない」
標準の型チェッカーは「何が文字列か」は知っていても、「それがサニタイズ済みか」までは感知しない。ここで妥協して実行時アサーションに頼る者は、HHVMのアーキテクチャを冒涜していると言わざるを得ない。コンパイル時、すなわち型チェッカーの段階でこれらを完全に捉え、違反を検知する。
今回は、HHVMの型チェッカーの振る舞いを拡張し、カスタム属性（User Attributes）をトリガーとした独自の静的解析ルールを構築する極限の設計手法を解説する。
—
1. Hackの型チェッカーとユーザー定義属性の内部メカニズム
HHVMのパイプラインにおいて、型チェッカーはソースコードを読み込み、ナローイングやジェネリクスを解決しながら型環境（Typing Environment）を構築する。このプロセスにおいて、`<<__Attributes>>` として付与されたメタデータは、ASTノードの付加情報として型チェッカーのメモリ空間（Ocamlで実装されたデーモンプロセス）に保持される。
通常、属性はランタイムにおけるリフレクション（`ReflectionClass::getAttributes()`など）のために使われるが、静的解析のフックとしても極めて強力な武器になる。Hackには、静的解析ツールチェイン（hh_client）自体のルールをカスタムで拡張する公式のASTプラグイン機構や、型チェッカーの出力をフックする静的解析Linter連携のパターンが存在する。
ここでは、独自のカスタム属性を定義し、それを解析する静的解析パイプラインの設計図を描く。
—
2. 実装：サニタイズ境界を強制するカスタム属性と解析ロジック
実例として、「未サニタイズの生データ（Raw String）」が「セキュリティ境界を越えてSQLクエリビルダーやHTML出力に渡されるのを、コンパイル時（静的解析時）にブロックする」システムを実装しよう。
ステップ1: カスタム属性の定義とマーカークラス
Hackでは、属性はクラスとして定義される。`<<__Attribute>>` メタデータを使用することで、そのクラスがどのスコープ（クラス、メソッド、パラメータなど）に付与可能かを制限できる。
<<__file:__STRICT>>
namespace SecurityEngine;
/
- この属性が付与された型、または値は、
- 厳格なサニタイズ処理を経た安全なデータであることを示す。
/
<<__Attribute(__TargetClass, __TargetParameter, __TargetProperty)>>
final class Sanitized {
public function __construct(public string $algorithm = ‘default’) {}
}
/
- 生データ（危険なデータ）であることを明示する属性。
/
<<__Attribute(__TargetParameter, __TargetProperty)>>
final class RawData {}
ステップ2: ドメインモデルと境界の構築
次に、この属性を利用してメソッドシグネチャを厳格に定義する。
<<__file:__STRICT>>
namespace SecurityEngine;
final class UserInputController {
public function process(
// 外部からの入力は RawData であることを強制
<
// すでにサニタイズされた安全なトークン
<
): void {
// 危険な操作のシミュレーション
$this->executeDangerousQuery($raw_input); // ここを静的解析で検知させたい
}
private function executeDangerousQuery(
// このメソッドは Sanitized 属性を持つ引数しか受け付けない
<
): void {
// DBクエリ実行などの処理
}
}
—
3. 型チェッカーを補完するカスタム静的解析スクリプトの構築
HHVMの標準型チェッカー（`hh_client`）は型の整合性（String vs Intなど）は見るが、「`<
そのため、HHVMのJSON出力機能（`hh_client –json`）や、ASTを直接解析する静的解析ラッパー（Hack AST API / Hack Parser）を利用したカスタムLinterをCIパイプライン、あるいはIDEのLSP（Language Server Protocol）に組み込む。
以下は、HackのASTパーサーを利用して、不正なデータの伝播を検知するカスタム解析エンジンのコアロジックの概念実装である。
<<__file:__STRICT>>
namespace SecurityEngine\Analyzer;
use namespace HH\Lib\{C, Dict, Str, Vec};
/
- 簡易的な静的解析ルールのエージェント
- 実運用では、hh_clientのASTダンプ（–ast-json）や、
- Hack言語で書かれたカスタムLinterバイナリとして実装する。
/
final class StaticAnalyzer {
/
- メソッド呼び出しにおけるアノテーションの整合性を検証する。
/
public static function auditCallSite(
string $method_name,
vec
vec
): bool {
// パラメータが Sanitized を要求しているにもかかわらず、
// 引数側が RawData である、または属性を持たない場合はコンパイルエラー（違反）とみなす
foreach ($parameter_attributes as $i => $param_attr) {
if ($param_attr === ‘Sanitized’) {
$arg_attr = $argument_attributes[$i] ?? ”;
if ($arg_attr === ‘RawData’ || $arg_attr === ”) {
return false; // 脆弱性の検知
}
}
}
return true;
}
}
このチェッカーをビルドプロセス（`hh_client` の実行後）に組み込むことで、以下のようなコードは即座にCIで弾かれることになる。
[Security Violation] Line 18: Method ‘SecurityEngine\UserInputController::executeDangerousQuery’
requires parameter with attribute [Sanitized], but passed value is marked with [RawData].
—
4. アーキテクチャの極限最適化：ランタイムへのオーバーヘッドゼロ
シニアエンジニアやセキュリティ研究者が最も懸念すべき点は、こうした複雑なチェック機構が実行時パフォーマンス（Runtime Performance）に悪影響を及ぼさないかという点だ。
答えは明確である：「ゼロ・オーバーヘッド」。
HHVMのアーキテクチャにおいて、カスタム属性やこれらの静的解析ルールは、すべてコンパイルタイム（JITコンパイル前、および型チェッカーの段階）で完結する。
HHVMがバイトコード（HHBC）を生成し、TC（Translation Cache）上でネイティブマシン語にトランスレートする段階では、これらの属性メタデータや解析用ロジックは静的な型制約として解決済み、あるいは実行時には不要なメタデータとして扱われるため、プロダクションの実行速度（スループットおよびレイテンシ）には一切ペナルティを与えない。
これが、動的言語の皮を被った最強の静す的型付き言語、Hackの真骨頂である。
—
5. 結び：型システムの限界を突破せよ
言語仕様に縛られるな。型チェッカーは単なるバグ発見ツールではない。それは開発者が定義した「ドメインの絶対的な法則」を機械的に強制するための、極めて強力な論理エンジンである。
カスタム属性を駆使し、HHVMの深層でうごめく型チェッカーの挙動を掌中に収めた時、あなたの書くコードベースは、いかなる人間的ミスや悪意あるインジェクションをも寄せ付けない、鉄壁の要塞へと昇華する。
限界は常に、挑む者によって突破されるために存在する。さあ、コードを書き換えろ。