常用Java靜態(tài)代碼分析工具的分析與比較

1、靜態(tài)代碼分析工具簡(jiǎn)介什么是靜態(tài)代碼分析靜態(tài)代碼分析是指無(wú)需運(yùn)行被測(cè)代碼，僅通過(guò)分析或檢查源程序的語(yǔ)法、結(jié)構(gòu)、過(guò)程、接口等來(lái)檢查程序的正確性，找出代碼隱藏的錯(cuò)誤和缺陷，如參數(shù)不匹配，有歧義的嵌套語(yǔ)句，錯(cuò)誤的遞歸，非法計(jì)算，可能出現(xiàn)的空指針引用等等。在軟件開(kāi)發(fā)過(guò)程中，靜態(tài)代碼分析往往先于動(dòng)態(tài)測(cè)試之前進(jìn)行，同時(shí)也可以作為制定動(dòng)態(tài)測(cè)試用例的參考。統(tǒng)計(jì)證明，在整個(gè)軟件開(kāi)發(fā)生命周期中，30% 至 70% 的代碼邏輯設(shè)計(jì)和編碼缺陷是可以通過(guò)靜態(tài)代碼分析來(lái)發(fā)現(xiàn)和修復(fù)的。但是，由于靜態(tài)代碼分析往往要求大量的時(shí)間消耗和相關(guān)知識(shí)的積累，因此對(duì)于軟件開(kāi)發(fā)團(tuán)隊(duì)來(lái)說(shuō)，使用靜態(tài)代碼分析工具自動(dòng)化執(zhí)行代碼檢查和分析，能夠極大

2、地提高軟件可靠性并節(jié)省軟件開(kāi)發(fā)和測(cè)試成本。靜態(tài)代碼分析工具的優(yōu)勢(shì)1. 幫助程序開(kāi)發(fā)人員自動(dòng)執(zhí)行靜態(tài)代碼分析，快速定位代碼隱藏錯(cuò)誤和缺陷。2. 幫助代碼設(shè)計(jì)人員更專注于分析和解決代碼設(shè)計(jì)缺陷。3. 顯著減少在代碼逐行檢查上花費(fèi)的時(shí)間，提高軟件可靠性并節(jié)省軟件開(kāi)發(fā)和測(cè)試成本。Java 靜態(tài)代碼分析理論基礎(chǔ)和主要技術(shù)· 缺陷模式匹配：缺陷模式匹配事先從代碼分析經(jīng)驗(yàn)中收集足夠多的共性缺陷模式，將待分析代碼與已有的共性缺陷模式進(jìn)行模式匹配，從而完成軟件的安全分析。這種方式的優(yōu)點(diǎn)是簡(jiǎn)單方便，但是要求內(nèi)置足夠多缺陷模式，且容易產(chǎn)生誤報(bào)。· 類型推斷：類型推斷技術(shù)是指通過(guò)對(duì)代碼中運(yùn)算對(duì)象類

3、型進(jìn)行推理，從而保證代碼中每條語(yǔ)句都針對(duì)正確的類型執(zhí)行。這種技術(shù)首先將預(yù)定義一套類型機(jī)制，包括類型等價(jià)、類型包含等推理規(guī)則，而后基于這一規(guī)則進(jìn)行推理計(jì)算。類型推斷可以檢查代碼中的類型錯(cuò)誤，簡(jiǎn)單，高效，適合代碼缺陷的快速檢測(cè)。· 模型檢查：模型檢驗(yàn)建立于有限狀態(tài)自動(dòng)機(jī)的概念基礎(chǔ)之上，這一理論將被分析代碼抽象為一個(gè)自動(dòng)機(jī)系統(tǒng)，并且假設(shè)該系統(tǒng)是有限狀態(tài)的、或者是可以通過(guò)抽象歸結(jié)為有限狀態(tài)。模型檢驗(yàn)過(guò)程中，首先將被分析代碼中的每條語(yǔ)句產(chǎn)生的影響抽象為一個(gè)有限狀態(tài)自動(dòng)機(jī)的一個(gè)狀態(tài)，而后通過(guò)分析有限狀態(tài)機(jī)從而達(dá)到代碼分析的目的。模型檢驗(yàn)主要適合檢驗(yàn)程序并發(fā)等時(shí)序特性，但是對(duì)于數(shù)據(jù)值域數(shù)據(jù)類型等方

4、面作用較弱。· 數(shù)據(jù)流分析：數(shù)據(jù)流分析也是一種軟件驗(yàn)證技術(shù)，這種技術(shù)通過(guò)收集代碼中引用到的變量信息，從而分析變量在程序中的賦值、引用以及傳遞等情況。對(duì)數(shù)據(jù)流進(jìn)行分析可以確定變量的定義以及在代碼中被引用的情況，同時(shí)還能夠檢查代碼數(shù)據(jù)流異常，如引用在前賦值在后、只賦值無(wú)引用等。數(shù)據(jù)流分析主要適合檢驗(yàn)程序中的數(shù)據(jù)域特性。現(xiàn)有主流 Java 靜態(tài)分析工具CheckstyleCheckstyle 是 SourceForge 的開(kāi)源項(xiàng)目，通過(guò)檢查對(duì)代碼編碼格式，命名約定，Javadoc，類設(shè)計(jì)等方面進(jìn)行代碼規(guī)范和風(fēng)格的檢查，從而有效約束開(kāi)發(fā)人員更好地遵循代碼編寫(xiě)規(guī)范。Checkstyle 提供了

5、支持大多數(shù)常見(jiàn) IDE 的插件，文本主要使用 Eclipse 中的 Checkstyle 插件。如下圖 1 所示，Checkstyle 對(duì)代碼進(jìn)行編碼風(fēng)格檢查，并將檢查結(jié)果顯示在 Problems 視圖中。圖中，代碼編輯器中每個(gè)放大鏡圖標(biāo)表示一個(gè) Checkstyle 找到的代碼缺陷。開(kāi)發(fā)人員可通過(guò)在 Problems 視圖中查看錯(cuò)誤或警告詳細(xì)信息。圖 1. 使用 Checkstyle 進(jìn)行編碼風(fēng)格檢查此外，Checkstyle 支持用戶根據(jù)需求自定義代碼檢查規(guī)范，在下圖 2 中的配置面板中，用戶可以在已有檢查規(guī)范如命名約定，Javadoc，塊，類設(shè)計(jì)等方面的基礎(chǔ)上添加或刪除自定義檢查規(guī)范。圖

6、 2. 使用 Checkstyle 添加自定義代碼檢查規(guī)范FindBugsFindBugs 是由馬里蘭大學(xué)提供的一款開(kāi)源 Java 靜態(tài)代碼分析工具。FindBugs 通過(guò)檢查類文件或 JAR 文件，將字節(jié)碼與一組缺陷模式進(jìn)行對(duì)比從而發(fā)現(xiàn)代碼缺陷，完成靜態(tài)代碼分析。FindBugs 既提供可視化 UI 界面，同時(shí)也可以作為 Eclipse 插件使用。文本將主要使用將 FindBugs 作為 Eclipse 插件。在安裝成功后會(huì)在 eclipse 中增加 FindBugs perspective，用戶可以對(duì)指定 Java 類或 JAR 文件運(yùn)行 FindBugs，此時(shí) FindBugs 會(huì)遍歷指

7、定文件，進(jìn)行靜態(tài)代碼分析，并將代碼分析結(jié)果顯示在 FindBugs perspective 的 bugs explorer 中，如下圖 3 所示：圖 3. 使用 FindBugs 進(jìn)行靜態(tài)代碼分析圖中 Bug Explorer 中的灰色圖標(biāo)處為 Bug 類型，每種分類下紅色圖標(biāo)表示 bug 較為嚴(yán)重，黃色的圖標(biāo)表示 bug 為警告程度。Propreties 列出了 bug 的描述信息及修改方案。此外，F(xiàn)indBugs 還為用戶提供定制 Bug Pattern 的功能。用戶可以根據(jù)需求自定義 FindBugs 的代碼檢查條件，如下圖 4 所示：圖 4. 使用 FindBugs 添加自定義代碼檢查

8、規(guī)范PMDPMD 是由 DARPA 在 SourceForge 上發(fā)布的開(kāi)源 Java 代碼靜態(tài)分析工具。PMD 通過(guò)其內(nèi)置的編碼規(guī)則對(duì) Java 代碼進(jìn)行靜態(tài)檢查，主要包括對(duì)潛在的 bug，未使用的代碼，重復(fù)的代碼，循環(huán)體創(chuàng)建新對(duì)象等問(wèn)題的檢驗(yàn)。PMD 提供了和多種 Java IDE 的集成，例如 Eclipse，IDEA，NetBean 等。本文主要使用 PMD 以插件方式與 Eclipse 集成。如下圖 5 所示：在 Violations Overview 視圖中，按照代碼缺陷嚴(yán)重性集中顯示了 PMD 靜態(tài)代碼分析的結(jié)果。圖 5. 使用 PMD 進(jìn)行靜態(tài)代碼分析PMD 同樣也支持開(kāi)發(fā)人員

9、對(duì)代碼檢查規(guī)范進(jìn)行自定義配置。開(kāi)發(fā)人員可以在下圖 6 中的面板中添加、刪除、導(dǎo)入、導(dǎo)出代碼檢查規(guī)范。圖 6. 使用 PMD 添加自定義代碼檢查規(guī)范JtestJtest 是 Parasoft 公司推出的一款針對(duì) Java 語(yǔ)言的自動(dòng)化代碼優(yōu)化和測(cè)試工具，Jtest 的靜態(tài)代碼分析功能能夠按照其內(nèi)置的超過(guò) 800 條的 Java 編碼規(guī)范自動(dòng)檢查并糾正這些隱蔽且難以修復(fù)的編碼錯(cuò)誤。同時(shí)，還支持用戶自定義編碼規(guī)則，幫助用戶預(yù)防一些特殊用法的錯(cuò)誤。Jtest 提供了基于 Eclipse 的插件安裝。Jtest 支持開(kāi)發(fā)人員對(duì) Java 代碼進(jìn)行編碼規(guī)范檢查，并在 Jtask 窗口中集中顯示檢查結(jié)果，如

10、下圖 7 所示：圖 7. 使用 Jtest 進(jìn)行靜態(tài)代碼分析同時(shí)，Jtest 還提供了對(duì)用戶定制代碼檢查配置甚至自定義編碼規(guī)則的支持，這一功能使得開(kāi)發(fā)人員可以基于不同場(chǎng)景定制所需要的編碼規(guī)范，如圖 8 所示：圖 8. 使用 Jtest 添加自定義代碼檢查規(guī)范Java 靜態(tài)分析工具對(duì)比本章節(jié)將從以下幾個(gè)方面對(duì)上述 Java 靜態(tài)分析工具進(jìn)行比較：應(yīng)用技術(shù)及分析對(duì)象下表 1 列出了不同工具的分析對(duì)象及應(yīng)用技術(shù)對(duì)比：表 1. 不同工具的分析對(duì)象及應(yīng)用技術(shù)對(duì)比Java 靜態(tài)分析工具分析對(duì)象應(yīng)用技術(shù)CheckstyleJava 源文件缺陷模式匹配FindBugs字節(jié)碼缺陷模式匹配；數(shù)據(jù)流分析PMDJav

11、a 源代碼缺陷模式匹配JtestJava 源代碼缺陷模式匹配；數(shù)據(jù)流分析內(nèi)置編程規(guī)范Checkstyle：Javadoc 注釋：檢查類及方法的 Javadoc 注釋命名約定：檢查命名是否符合命名規(guī)范標(biāo)題：檢查文件是否以某些行開(kāi)頭Import 語(yǔ)句：檢查 Import 語(yǔ)句是否符合定義規(guī)范代碼塊大小，即檢查類、方法等代碼塊的行數(shù)空白：檢查空白符，如 tab，回車符等修飾符：修飾符號(hào)的檢查，如修飾符的定義順序塊：檢查是否有空塊或無(wú)效塊代碼問(wèn)題：檢查重復(fù)代碼，條件判斷，魔數(shù)等問(wèn)題類設(shè)計(jì)：檢查類的定義是否符合規(guī)范，如構(gòu)造函數(shù)的定義等問(wèn)題FindBugs：Bad practice 壞的實(shí)踐：常見(jiàn)代碼錯(cuò)誤

12、，用于靜態(tài)代碼檢查時(shí)進(jìn)行缺陷模式匹配Correctness 可能導(dǎo)致錯(cuò)誤的代碼，如空指針引用等國(guó)際化相關(guān)問(wèn)題：如錯(cuò)誤的字符串轉(zhuǎn)換可能受到的惡意攻擊，如訪問(wèn)權(quán)限修飾符的定義等多線程的正確性：如多線程編程時(shí)常見(jiàn)的同步，線程調(diào)度問(wèn)題。運(yùn)行時(shí)性能問(wèn)題：如由變量定義，方法調(diào)用導(dǎo)致的代碼低效問(wèn)題。PMD：可能的 Bugs：檢查潛在代碼錯(cuò)誤，如空 try/catch/finally/switch 語(yǔ)句未使用代碼（Dead code）：檢查未使用的變量，參數(shù)，方法復(fù)雜的表達(dá)式：檢查不必要的 if 語(yǔ)句，可被 while 替代的 for 循環(huán)重復(fù)的代碼：檢查重復(fù)的代碼循環(huán)體創(chuàng)建新對(duì)象：檢查在循環(huán)體內(nèi)實(shí)例化新對(duì)象

13、資源關(guān)閉：檢查 Connect，Result，Statement 等資源使用之后是否被關(guān)閉掉Jtest可能的錯(cuò)誤：如內(nèi)存破壞、內(nèi)存泄露、指針錯(cuò)誤、庫(kù)錯(cuò)誤、邏輯錯(cuò)誤和算法錯(cuò)誤等未使用代碼：檢查未使用的變量，參數(shù)，方法初始化錯(cuò)誤：內(nèi)存分配錯(cuò)誤、變量初始化錯(cuò)誤、變量定義沖突命名約定：檢查命名是否符合命名規(guī)范Javadoc 注釋：檢查類及方法的 Javadoc 注釋線程和同步：檢驗(yàn)多線程編程時(shí)常見(jiàn)的同步，線程調(diào)度問(wèn)題國(guó)際化問(wèn)題：垃圾回收：檢查變量及 JDBC 資源是否存在內(nèi)存泄露隱患錯(cuò)誤檢查能力為比較上述 Java 靜態(tài)分析工具的代碼缺陷檢測(cè)能力，本文將使用一段示例代碼進(jìn)行試驗(yàn)，示例代碼中將涵蓋我們開(kāi)

14、發(fā)中的幾類常見(jiàn)錯(cuò)誤，如引用操作、對(duì)象操作、表達(dá)式復(fù)雜化、數(shù)組使用、未使用變量或代碼段、資源回收、方法調(diào)用及代碼設(shè)計(jì)幾個(gè)方面。最后本文將分別記錄在默認(rèn)檢查規(guī)范設(shè)置下，不同工具對(duì)該示例代碼的分析結(jié)果。以下為示例代碼 Test.java。其中，代碼的注釋部分列舉了代碼中可能存在的缺陷。清單 1. Test.java 示例代碼 package Test;import java.io.*;public class Test /* * Write the bytes from input stream to output stream. * The input stream and output stre

15、am are not closed. * param is * param os * throws IOException */public boolean copy(InputStream is, OutputStream os) throws IOException int count = 0; /缺少空指針判斷 byte buffer = new byte1024;while (count = is.read(buffer) >= 0) os.write(buffer, 0, count);/未關(guān)閉I/O流return true;/* * * param a * param b *

16、 param ending * return copy the elements from a to b, and stop when meet element ending */public void copy(String a, String b, String ending)int index;String temp = null;/空指針錯(cuò)誤System.out.println(temp.length();/未使用變量int length=a.length;for(index=0; index&a.length; index+)/多余的if語(yǔ)句if(true)/對(duì)象比較 應(yīng)使用

17、equalsif(temp=ending)break;/缺少 數(shù)組下標(biāo)越界檢查bindex=temp;/* * * param file * return file contents as string; null if file does not exist */public void readFile(File file) InputStream is = null;OutputStream os = null;try is = new BufferedInputStream(new FileInputStream(file);os = new ByteArrayOutputStream(

18、);/未使用方法返回值copy(is,os);is.close();os.close(); catch (IOException e) /可能造成I/O流未關(guān)閉e.printStackTrace(); finally/空的try/catch/finally塊通過(guò)以上測(cè)試代碼，我們對(duì)已有 Java 靜態(tài)代碼分析工具的檢驗(yàn)結(jié)果做了如下比較，如下表 2 所示。表 2. Java 靜態(tài)代碼分析工具對(duì)比代碼缺陷分類示例CheckstyleFindBugsPMDJtest引用操作空指針引用對(duì)象操作對(duì)象比較（使用 = 而不是 equals）表達(dá)式復(fù)雜化多余的 if 語(yǔ)句數(shù)組使用數(shù)組下標(biāo)越界未使用變量或代碼段未使用變量資源回收I/O 未關(guān)閉方法調(diào)用未使用方法返回值代碼設(shè)計(jì)空的 try/catch/finally 塊由表中可以看出幾種工具對(duì)于代碼檢查各有側(cè)重。其中，Checkstyle 更偏重于代碼編寫(xiě)格式，及是否符合編碼規(guī)范的檢驗(yàn)，對(duì)代碼 bug 的發(fā)現(xiàn)功能較弱；而 FindBugs，PMD，Jtest 著重于發(fā)現(xiàn)代碼缺陷。在對(duì)代碼缺陷檢查中，這三種工具在針對(duì)的代碼缺陷類別也各有不同，且類別之間有重疊?？偨Y(jié)本文分別從功能、特性和內(nèi)置編程規(guī)范等方面詳細(xì)介紹了包括 Checkstyle，F(xiàn)indBugs，PMD，Jtest 在內(nèi)的四種主流 Java 靜態(tài)代碼分析工具，并通過(guò)一段 Java