代码检查

1.为什么代码检查

1.1能发现问题

所谓静态代码检查就是使用一个工具检查我们写的代码是否安全和健壮，是否有隐藏的问题。比如无意间写了这样的代码：

int n = 10;

char* buffer = new char[n];

buffer[n] = 0;

这完全是符合语法规范的，能编译通过，但是静态代码检查工具会提示此处会溢出。也就是说，它是一个更加严格的编译器。所以代码检查很有必要;

1.2自动进行

无需执行代码即可自动扫描缺陷、可以在软件开发的各个阶段随时扫描、缺陷自动划分严重程度等。

2.代码检查工具

2.1C/C++

1.Cppcheck

cppcheck 是一个静态代码检查工具，支持c, c++ 代码；作为编译器的一种补充检查，cppcheck对产品的源代码执行严格的逻辑检查。

2.2JAVA

1.Findbugs

FindBugs 是一个JAVA静态分析工具，它检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。

2.Checkstyle

CheckStyle提供了一个帮助JAVA开发人员遵守某些编码规范的工具。它能够自动化代码规范检查过程，从而使得开发人员从这项重要，但是枯燥的任务中解脱出来。

2.3JS,JSP

1.Js,Jsp代码检查器

Js,Jsp代码检查器是一款开源的Js,Jsp代码样式检查工具,能够自动化代码规范检查过程, 支持检查本地代码和连接svn库检查配置库中代码;自动化程度高;

3.在Crm5.7应用

在Crm5.7项目中，按照局方要求，对前后台代码都做代码扫描，选用的工具是cppcheck，findbugs，还有一个代码扫描器；

3.1下载

地址：http://172.16.9.106:9001/svn/qmd/测试资料共享文件夹/代码扫描/30.代码扫描工具.zip

下载用户名/密码：notesid/notes密码

3.2使用

3.2.1Cppcheck安装和使用

1.登录linux主机

2.解压：tar zxvf cppcheck-1.48.tar.gz

3.cd cppcheck-1.48

4.编译：make

5../cppcheck -h #看是否出来帮助提示

6.扫描代码：cppcheck -j 3 --enable=all Project_Path/*

说明：

roject_Path/*：表示项目路径及项目下所有文件；

j参数指定的是检查线程的个数，如果需要检查代码的量很大，-j参数还是很有用的；

--enable指定当前指定的检查级别，可选的参数有all，style，

information等

7.举例说明：

数组越界：

int a[5]; a[5]=1;

int a[5]; int n=5; a[n]=1;

内存分配机制不匹配：

int pA = new char(); free(pA);

int pA = new char[5]; delete pA;

内存泄露：

char *p = (char *)malloc(100*sizeof(char));

memset(p, 0, sizeof(p));

扫描结果：

[APIEncode.c:9]: (style) Variable 'a' is assigned a value that is never used

[APIEncode.c:10]: (error) Array 'a[5]' index 5 out of bounds

[APIEncode.c:30]: (error) Memory leak: p

3.2.2FindBugs安装和使用

1.解压缩findbug1[1].3.9.zip；

2.将edu.umd.cs.findbugs.plugin.eclipse_1.

3.9.20090821 文件夹放到

到myeclipse插件文件夹C:\Program Files (x86)\MyEclipse

6.5\eclipse\plugins；

3.将edu.umd.cs.findbugs.plugin.eclipse_1.3.9.20090821 文件夹放到

到myeclipse插件文件夹；

4.重启myclipse；

5.查看安装是否成功；

6.举例说明：

右击项目

点击findbugs

切换到findbugs视图下

Findbugs 结果导出，在findbugs explorer下右击项目

点击Findbugs->Save XML；

3.2.3Jsp,js代码扫描器安装和使用

3.2.3.1Eclipse插件版运行准备

集成Eclipse插件版需要以下文件：

把CheckCodeConsole_1.0.0.jar复制到eclipse/plugins目录中，重启eclipse，便可见菜单栏与工具栏提供了代码检查工具的打开按钮，点击便可打开检查器。

3.2.3.2检查方式

文件检查分为两种检查方式，不同的检查方式的需要的检查参数也不同，点击界面顶部的tab页选择检查方式，如下图，填写对应的检查参数。

SVN检查方式

此方式为从svn上取文件进行检查，需要以下参数：

1. 项目工程svn路径

2. 被检查文件的xls清单文件，格式如下：

(首行为表头，文件路径为svn项目工程的相对路径，文件夹以/ 结尾)

3. svn的用户名和对应密码

本地检查方式

此方式为直接读取本地文件进行检查，需要一个参数：

检查目录，本地的文件或者文件夹，点击浏览按钮选择。

点击“浏览...”按钮时，在当前开发环境eclipse中弹出项目选择对话框，只能选择当前已打开的项目下的目录，如下图：

若只需检查单个文件，则只需在编辑界面、或PackgeExplorer视图中的单个文件上右击，便可直接检查该文件。（只支持java文件）

3.2.3.3可执行操作

本工具支持检查java文件、检查js文件和导出javadoc三种功能操作，勾选所需要操作，对检查方式中选择的文件执行这些操作，单选或多选都会在一次任务中完成已选操作。

3.2.3.4结果输出路径

当执行操作中选择了检查Java文件或检查js文件，则必须选择检查结果路径，点击对应的浏览按钮选择，若所选文件不存在则自动新建，检查结果将写入到此文件中，每次打开工具默认检查结果路径为同级目录下的result.xls文件。

点击检查结果后的打开按钮可以直接打开检查结果文件。

3.2.3.5开始按钮

当所有必要参数都填充完毕后，开始按钮会进入可点击状态，此时点击开始按钮，则根据已输入的检查参数对文件进行检查或导出操作。

3.2.3.6控制台

界面下方为控制台，用于显示开始操作后的操作进度或异常问题提示信息，点击开始按钮后，应留意控制台显示的信息内容。另外，右上角有清空按钮，用于清空当前控制台中的文本内容，如下图：