0引言
在Java软件开发过程中,开发团队往往要花费大量的时间和精力发现并修改代码缺陷。Java 静态代码分析(static code analysis)工具能够在代码构建过程中帮助开发人员快速、有效的定位代码缺陷并及时纠正这些问题,从而极大地提高软件可靠性并节省软件开发和测试成 本。目前市场上的 Java 静态代码分析工具种类繁多且各有千秋,因此本文将分别介绍现有 4 种主流 Java 静态代码分析工具 (Checkstyle,FindBugs,PMD,Jtest),并从功能、特性等方面对它们进行分析和比较,希望能够帮助 Java 软件开发人员了解静态代码分析工具,并选择合适的工具应用到软件开发中。
1何为静态代码分析
静态代码分析是指无需运行被测代码,仅通过分析或检查源程序的语法、结构、过程、接口等来检查程序的正确性,找出代码隐藏的错误和缺陷,如参数不匹配,有歧义的嵌套语句,错误的递归,非法计算,可能出现的空指针引用等等。
在软件开发过程中,静态代码分析往往先于动态测试之前进行,同时也可以作为制定动态测试用例的参考。统计证明,在整个软件开发生命周期中,30% 至 70% 的代码逻辑设计和编码缺陷是可以通过静态代码分析来发现和修复的。
但是,由于静态代码分析往往要求大量的时间消耗和相关知识的积累,因此对于软件开发团队来说,使用静态代码分析工具自动化执行代码检查和分析,能够极大地提高软件可靠性并节省软件开发和测试成本。
2.静态分析优势
1. 帮助程序开发人员自动执行静态代码分析,快速定位代码隐藏错误和缺陷。
2. 帮助代码设计人员更专注于分析和解决代码设计缺陷。
3. 显著减少在代码逐行检查上花费的时间,提高软件可靠性并节省软件开发和测试成本。
3.静态分析主要技术
- 缺陷模式匹配:缺陷模式匹配事先从代码分析经验中收集足够多的共性缺陷模式,将待分析代码与已有的共性缺陷模式进行模式匹配,从而完成软件的安全分析。这种方式的优点是简单方便,但是要求内置足够多缺陷模式,且容易产生误报。
- 类型推断:类型推断技术是指通过对代码中运算对象类型进行推理,从而保证代码中每条语句都针对正确的类型执行。这种技术首先将预定义一套类型机制,包括类 型等价、类型包含等推理规则,而后基于这一规则进行推理计算。类型推断可以检查代码中的类型错误,简单,高效,适合代码缺陷的快速检测。
- 模型检查:模型检验建立于有限状态自动机的概念基础之上,这一理论将被分析代码抽象为一个自动机系统,并且假设该系统是有限状态的、或者是可以通过抽象归 结为有限状态。模型检验过程中,首先将被分析代码中的每条语句产生的影响抽象为一个有限状态自动机的一个状态,而后通过分析有限状态机从而达到代码分析的 目的。模型检验主要适合检验程序并发等时序特性,但是对于数据值域数据类型等方面作用较弱。
- 数据流分析:数据流分析也是一种软件验证技术,这种技术通过收集代码中引用到的变量信息,从而分析变量在程序中的赋值、引用以及传递等情况。对数据流进行 分析可以确定变量的定义以及在代码中被引用的情况,同时还能够检查代码数据流异常,如引用在前赋值在后、只赋值无引用等。数据流分析主要适合检验程序中的 数据域特性。
4.主流的静态分析工具——Java
Checkstyle FindBugs PMD Jtest sonarqube(原名sonar)
移动应用Java Android App静态分析:Infer(from Google)
http://8453383.iteye.com/blog/1428816 http://blog.chinaunix.net/uid-301743-id-5081405.html
5SonarQube和Jenkins的集成
Window下详见:http://blog.csdn.net/wuxuehong0306/article/details/50847893
Linux下:
5.1 Job方式
和普通Job配置一致,但将Sonar插件运行的脚本配置其中,即可完成与5.2一样的功能
5.2插件方式
Jenkins和Sonar集成的原理大概是这样的,Jenkins在其插件管理中心,下载sonar插件并进行配置,与sonar关联上。然后Jenkins在完成一次集成构建后,就会通知sonar进行源代码分析的操作。大家都知道Jenkins在构建的过程中是有从SVN下载源码这一步操作的,而sonar就是对Jenkins下载好的源码进行解析,将代码的质量等各种参数以图形化的页面展示给用户。
下面就来介绍Jenkins和Sonar如何集成和协调工作的。
插件安装
1、 在线安装:
选中Jenkins的系统管理->管理插件->可选插件栏,搜索SonarQube Plugin,点击直接安装即可。
不过这种在线安装一般行不通,因为要访问Google进行下载。
所以咱们采用离线安装方式。
2、 离线安装:
①. 首先下载SonarQube Plugin插件:https://wiki.jenkins-ci.org/display/JENKINS/SonarQube+plugin,下载完是sonar.hpi文件。
②. 选中Jenkins的系统管理->管理插件->高级->上传插件
将刚才下载的插件sonar.hpi,上传至Jenkins,并根据提示重启Jenkins即可。
重启后到 插件管理->已安装->查看SonarQube Plugin是否存在
出现上图插件,则表示安装成功。
SonarQube Plugin配置
找到系统管理->系统设置->SonarQube栏, 进行下列设置即可。
进行一次项目分析
选择一条可以成功构建的项目,修改其配置。
增加构建后操作步骤->SonarQube 即可。
添加配置后,项目的页面会出现SonarQube的标志
然后点击立即构建,构建完成后,Jenkins会通知sonar进行代码质量分析,登陆sonar查看
已经多出了刚才配置的项目,这样咱们就可以很方便的进行代码走查,分析代码质量了。咱们距离自动化环境又进了一步。
相关推荐
整合Sonarqube+jenkins 搭建开源持续集成环境。Sonarqube一款很实用的代码检查工具,包括findbugs、chechstyle、编码规范等等。还可以集合eclipse进行代码检查
Git+SonarQube+Jenkins环境配置流程详细讲解了如何组建由Git、SonarQube、Jenkins集成的代码开发系统;详细讲解了下载、搭建、配置等关键步骤,可根据文档内容进行安装配置。SonarQube 是一个开源的代码分析平台, ...
SonarQube代码质量管理平台搭建手册(集成jenkins进行自动化代码审查)
Jenkins+Maven+Windows+svn+sonarqube持续集成平台搭建图文指南
jenkins 持续集成 sonar sonarqube sonarRun jenkins 持续集成 sonar sonarqube sonarRun
SonarQube的安装和配置以及与Jenkins和gitlab的集成
DevOps工具链中最重要的环节,代码扫描检测,附件包含sonar软件包,插件,C、C++代码检测插件,jenkins+sonarqube+mysql的集成配置方法
k8s(二次开发)环境jenkins集成SonarQube,包含启动yaml文件,以及配置jenkins构建的job语法
本文档目的在于演示sonarqube+jenkins+svn+maven是如何集成工作的,最后通过一个java项目和一个python项目展 示代码质量检测过程
jenkins集成sonarQube全家桶,此资源中jenkins和sonarqube的集成是经过本人测试多个版本得出的兼容版本,集成无报错
jenkins中使用例子: #定义sonar项目名称 sonar_url=bus-pub #邮件接收人 send1=111111111@qq.com send2=222222222@qq.com send3= #重新下载对应项目扫描报告 rm -f ${JOB_NAME}.pdf wget ...
Git + Jenkins + SonarQube 敏捷开发持续集成环境 安装流程带配图,过程完善
由于网上众多Python项目是使用TravisCI进行持续集成,跟我们目前使用Jenkins+SonarQube方案不一样,所以我们重新研究了如何整合这些内容 基于Jenkins进行集成 基于Nosetests进行自动化测试 基于coverage.py进行...
下载解压后放~/.jenkins/plugins/目录,具体的与jenkins集成可以参照文章https://blog.csdn.net/musuny/article/details/102700390
主要介绍了Jenkins集成sonarQube实现代码质量检查过程图解,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
使用jenkins+sonar进行代码扫描,并发送自定义邮件
jenkins集成sonarQube全家桶,此资源中jenkins和sonarqube的集成是经过本人测试多个版本得出的兼容版本,集成无报错
Python管道应用 演示应用程序,用于测试Jenkins和SonarQube之间的集成。
、个体和互动高于流程和工具 、工作的软件高于详尽的文档 、客户合作高于合同谈判 、响应变化高于遵循计划 这篇文章是前期工作中用到的技术的总结 绝对的精华 传统的开发模式在西方已经销声匿迹 然而在我们的“环境...