静态分析全解析：助力高质量软件开发，降低成本风险

按时发布高质量版本、需要满足编码和合规标准，而且决不能出现错误……静态分析为那些面临巨大压力的队伍提供了帮助。

这就是为什么开发团队都在使用静态分析/源代码分析工具。本篇文章将讨论静态分析、使用静态代码分析器的优势，以及静态分析的局限性。

什么是静态分析？

静态分析是一种无需执行程序，通过自动检查源代码来完成的调试方法。这让开发人员能够对他们的代码库了如指掌，并有助于确保代码库合规、安全、可靠。

什么是静态代码分析？

静态代码分析指的是静态分析工具执行的操作，即基于一组（或多组）编码规则对一组代码进行分析。

静态代码分析与静态分析可以互换使用，同时也会与源代码分析一起使用。

静态代码分析可以解决源代码中可能导致漏洞的弱点。当然，这也可以通过手动源代码审查来实现。但是使用自动化工具会更高效。

静态分析通常用于遵守编码准则，例如 MISRA。同时也常用于遵守行业标准，例如 ISO 26262。

何时使用静态代码分析器/源代码分析工具执行静态分析？

静态代码分析在开发早期，在软件测试开始之前执行。对于实践 DevOps 的企业来说，静态代码分析通常在“创建”阶段进行。

静态代码分析还通过创建自动反馈循环来支持 DevOps。开发人员能早点知道知道他们的代码是否存在问题，解决起来也比较容易。

静态分析与动态分析

那么，静态分析和动态分析有什么区别呢？

这两种代码分析类型都用于检测缺陷，但它们在开发生命周期中找到缺陷的方式有很大不同。

静态分析与动态分析

静态分析是在运行程序之前识别缺陷（例如在编码和单元测试期间）。

动态代码分析是在运行程序后识别缺陷（例如在单元测试期间）。然而，某些编码错误可能在单元测试期间并不会被发现。因此，动态测试可能会错过静态代码分析可以发现的缺陷。

静态代码分析器/静态分析工具有哪些限制？

静态代码分析在特定的开发阶段用于特定的目的，但它也有一定的局限性。

无法了解开发人员的意图

int calculateArea(int length, int width){    return (length + width);}

静态分析工具会检测到此计算中可能出现的溢出问题，但无法确定该函数的逻辑是否符合预期的功能要求！

无法静态执行的规则

有些编码规则依赖于外部文档，或者可以进行主观解释。（这些规则无法在静态分析中强制执行，因为它们需要外部信息或涉及主观判断。）

例如：

CERT-C MSC04：以一致且以可读的方式使用注释。

导致误报和漏报可能存在的缺陷

在某些情况下，工具只会报告可能存在的缺陷。

int divide(void){    int x;    if(foo())    {        x = 0;    }    else    {        x = 5;    }    return (10/x);}

如果对函数 foo（）一无所知，就无法确定 x 的值。

结果是无法确定的。这意味着工具可能会报告实际上不存在的缺陷（误报），或者可能未能报告真正存在的缺陷（漏报）。

静态分析工具有什么优点？

静态分析工具有很多优点——特别是当您需要遵守行业标准时。

一款好的静态代码分析工具能够提供速度、深度和准确性。

速度

手动代码审查需要很多时间，自动化工具就快得多。

静态代码检查能够在开发早期解决问题，因为它可以准确地定位代码中的错误。因此，您就能更快地修复这些错误。而且，较早发现编码错误，修复的成本也更低。

深度

测试无法涵盖所有可能的代码执行路径。但静态代码分析器可以。

静态代码分析器会在构建过程中检查代码。根据您应用的规则，您将得到关于代码中可能存在潜在问题的位置的深度分析。

下图是 Helix QAC 中深度代码分析的示例。

准确性

手动执行源代码审查容易会容易出现人为的错误，但自动化工具就不会。

自动化工具会扫描每一行代码，识别潜在问题。这有助于您在测试开始之前确保高质量的代码已就位。毕竟，当您需要遵守编码标准时，质量就是其中的关键。

静态分析和静态代码分析器如何帮助开发人员实现左移？

静态分析是一项确保软件应用程序可靠、安全和可维护的重要技术。它帮助开发人员尽早发现和修复问题、提高代码质量、增强安全性、确保合规性并提高效率。使用静态分析工具，开发人员可以构建高质量软件，降低安全漏洞带来的风险，并尽可能地减少调试和修复问题所花费的时间和精力。

“左移”这个术语指的是在软件开发生命周期（SDLC）的早期就集成自动化的软件测试与分析工具。传统做法是，在编写代码之后执行测试和分析，这样做的结果是，你只能被动地解决问题。通过采用左移，开发人员可以在问题变大之前就发现问题，从而减少调试和维护的工作量。这在敏捷开发中尤其重要，因为频繁地更改和更新代码可能会产生许多需要解决的问题。

静态分析的一个关键优点是，它可以节省调试和测试的时间和工作量。通过在开发的早期识别潜在问题，您可以在问题变得更加难以修复（且成本高昂）前解决它们。您还能获得质量更高的应用程序，因为它们在长期维护过程中变得更可靠，且更易于维护。不仅如此，还能防止问题在整个代码库中传播，并在后期更难识别和修复。

使用静态分析进行左移的好处包括：

1. 早期发现问题。通过将静态分析集成到开发过程中，开发人员可以及早发现问题，从而在问题变大之前解决它们。这减少了调试和维护的工作量，并确保代码可靠且安全；

2. 节约成本。在 SDLC 的早期阶段解决问题，可以降低在后期修复 bug 和其他问题的成本。这节省了时间和资源，并降低了延迟的风险，或者其他可能影响项目交付的问题的风险；

3. 提高代码质量。静态分析帮助识别编码标准违规情况，以及其他可能影响代码质量的问题。通过尽早解决这些问题，开发人员可以确保代码编写规范、可维护且易于调试；

4. 更强的安全性。静态分析工具可以识别代码中的安全漏洞，让开发人员在代码发布到生产环境前解决这些问题。这大大降低了安全漏洞和其他可能影响应用程序安全性的问题的风险。

使用静态分析实现左移如何帮助您提高利润？

通过静态分析实现左移还可以提高企业的预计投资回报率（ROI）并节约成本。

静态分析的主要优势之一就是在 SDLC 早期发现缺陷和漏洞。从长远来看，早期检测可以节省公司的时间和金钱。NIST（美国国家标准与技术研究院）的一项研究表示，随着开发周期的进展，修复缺陷的成本会显著增加。在需求阶段，检测到缺陷并修复的成本可能大约 60 美元，而在生产阶段，检测到缺陷并修复的成本可能高达 10,000 美元！通过采用静态分析，企业可以减少生产阶段的缺陷数量，并显著降低修复缺陷的总体成本。

除了降低修复缺陷的成本外，静态分析还可以提高代码质量，从而进一步节省成本。优化过的代码可以减少测试、调试和维护所需的时间和工作。IBM 的一项研究发现，通过改善代码质量，修复缺陷的成本最多可降低 75%。

安全性是静态分析帮助降低成本的另一个领域，尤其是与安全漏洞和负面品牌声誉相关的成本。IBM 的一项研究发现，数据泄露造成的损失可能在 125 万美元到 819 万美元不等。静态分析可以在 SDLC 的早期检测安全漏洞，从而让企业在部署软件之前修复它们。这样，企业可以显著降低安全漏洞的风险和成本，并保护其声誉。

除了节省成本之外，静态分析还带来了生产力的提升。通过在开发早期发现缺陷，开发人员可以减少调试和修复缺陷所需的时间和精力。这也为其他开发活动如功能开发或测试腾出了时间。通过提高生产力，企业可以减少软件开发所需的时间和成本，并提高快速交付软件的能力。

左移为企业的成本节省和 ROI 提升都带来了显著效果。通过早期检测缺陷和漏洞，公司可以显著降低修复缺陷的成本，改善代码质量和安全性，并提高生产力。这些优势可以提高客户满意度、改进软件质量并降低开发成本。

如何选择静态代码分析器？

在决定哪种工具适合您的时候，您需要考虑以下几点。

编程语言

静态代码分析器会为许多不同的编程语言而设计。因此，选择一个支持您使用的语言的工具非常重要。

标准

静态代码分析器的主要用途之一就是符合各种标准。因此，如果您所在的行业需要遵循某些特定的编码标准，请确保工具支持该标准。

为什么选择 Perforce 静态代码分析器工具进行静态分析？

Perforce 静态分析解决方案在 30 多年来一直受到信赖，它为各行各业执行关键任务项目的团队提供着精确可靠的结果。Helix QAC和Klocwork经过认证，符合编码标准和合规要求。而且它们的误报和漏报更少。

作者简介：

理查德·贝莱尔斯（Richard Bellairs）

Perforce 产品营销经理

理查德·贝莱尔斯拥有超过 20 年的跨行业工作经验。在 90 年代和 21 世纪初，他在制造、国防、测试和测量行业担任电子和软件工程职位，之后转向产品管理和产品营销。现在他负责 Perforce 市场领先的代码质量管理解决方案。理查德拥有谢菲尔德大学的电子工程学士学位和英国特许营销协会 (CIM) 的市场营销专业文凭。

文章来源：https://bit.ly/475QvWP