软件安全静态分析工具FindBugs
软件安全
17
软件安全
几个常见致命安全漏洞
缓冲区溢出 SQL注入 跨站脚本
18
软件安全
缓冲区溢出
当一个程序允许输入的数据大于已分配的缓冲区大 小时，缓冲区溢出就会发生。 有些语言具有直接访问应用程序内存的能力，如果 未能处理好用户的数据就会造成缓冲区溢出。C和 C++是受缓冲区溢出影响的两种最常见的编程语言。 缓冲区溢出造成的后果小到系统崩溃，达到攻击者 获取应用程序的完全控制权。 1988年，第一个Internet蠕虫—Morris蠕虫就是对 finger服务器攻击，造成缓冲区溢出，几乎导致 Internet瘫痪。
25
软件安全
其他致命安全漏洞
格式化字符串 整数溢出 命令注入 未能处理错误信息 未能保护好网络流量 使用Magic UPL及隐藏表单字段 未能正确使用SSL和TLS 使用基于弱口令的系统 未能安全的存储和保存数据 信息泄露 不恰当的文件访问 清新网络域名解析 竞争条件 未认证的密钥交换 密码学强度随机数 不良可用性
20
软件安全
SQL注入
通过把SQL命令插入到Web表单递交或输入域名或 页面请求的查询字符串，最终达到欺骗服务器执行 恶意的SQL命令。 任何可以与数据库交互的编程语言都可能出现SQL 注入漏洞。 SQL注入的最大的威胁是攻击者可以获得隐私的个 人信息或者敏感数据；也可能导致服务器甚至网络 的入侵。
软件安全
主讲内容
软件安全概念
软件漏洞
风险管理框架
安全开发生命周期
软件安全的七个接触点
2
软件安全
许多关键基础设施取决于计算机安全
3
软件安全
关于软件安全的相关报道
4
软件安全
软件安全概念
出现软件故障现象的原因是软件存在漏洞。 “任何软件，不论它看起来是多么安全，其中都隐 藏漏洞”。 软件安全的目的是尽可能消除软件漏洞，确保软件 在恶意攻击下仍然正常运行。
19
软件安全
缓冲区溢出
Morris finger蠕虫的成因： char buf[20]; gets(buf); 另一个缓冲区溢出例子： char buf[15]; char prefix[]=“http://”; char path[]=“”; strcpy(buf,prefix); strcat(buf,path,sizeof(path));
如果传递来的参数是“1 or 2>1 --”，则执行SQL语句： SELECT conum FROM cust WHERE id=1 or 2>1 -22
软件安全
跨站脚本
跨站脚本（XSS，Cross-site Scripting）漏洞是一类 专门针对Web应用程序的漏洞，它会使得产生漏洞 的Web服务器绑定的用户数据（通常保存在cookie中） 被泄露给恶意的第三方。 所谓“跨站”是指；当一个客户端访问了可正常提 供服务但是有漏洞的Web服务器后，cookie从此客户 端传递给了攻击者控制的站点。 任何用于构建网站的编程语言或者技术都可能受到 影响。
未在安全上下文环境中执行验证 验证例程不集中 不安全的组件边界 大的攻击面 在过高权限级别上运行进程 没有纵深防御 失效时处理不安全
薄弱的结构性安全
15
软件安全
常见的安全设计问题
其他
代码和数据混在一起 错将信任寄予外部环境 不安全的默认值 未作审计日志
16
5
软件安全
报告给CERT/CC的与安全相关的软件弱点
6
软件安全
软件安全问题加剧的三个趋势
互联性
多数计算机与Internet相连 多数软件系统互联于Internet
可扩展性
通过接受更新或者扩展件使系统升级
代码行数增加、网络式、分布式
复杂性
7
软件安全
Windows操作系统复杂性
8
软件安全
实现漏洞示例
2001年的红色代码（Code Red）蠕虫利用Microsoft 的IIS Web服务器的软件缺陷。
字符串变量是Unicode字符类型的（每个字符占用两 个字节），在计算缓冲区的时候应该是偏移量为2， 但IIS在计算缓冲区大小的时候却按照偏移量为1错 误的计算缓冲区。
导致在14个小时内，就有359000台机器感染了红色 代码蠕虫。
软件安全
J2EE的N层架构举例
9
软件安全
漏洞
10
软件安全
漏洞
11
软件安全
Байду номын сангаас
漏洞
所有的软件都存在潜伏的漏洞 安全必须经过证明 软件安全漏洞可分为两大类： 设计漏洞 实现漏洞
12
软件安全
设计漏洞示例
Microsoft Bob是作为Windows ME和Windows 98的辅 助程序而设计的，其中包含一个设置系统密码的工 具。 当用户试着输了三次（不正确）密码时，Bob将弹 出如下的信息：“我想你忘记了你的密码，请输入 一个新的密码。”然后，就允许用户修改密码，即 使不知道老密码。
23
软件安全
跨站脚本
24
软件安全
跨站脚本
<% String eid = request.getParameter("eid"); %> ... Employee ID: <%= eid %> XSS测试语句之一： ><script>alert(document.cookie)</script>
21
软件安全
SQL注入
public static boolean doQuery(String Id){ …… try { …… Statement st=….; ResultSet rs=st.executeQuery(“SELECT conum FROM cust WHERE id=”+Id); while(rs.next()){ ….. } catch…… }
13
软件安全
常见的安全设计问题
密码技术使用的败笔
创建自己的密码技术 选用了不当的密码技术 依赖隐蔽式安全 编写到程序中的密钥 错误的处理私密信息 会话管理薄弱或缺失 身份鉴别薄弱或缺失 授权薄弱或缺失
14
对用户及其许可权限进行跟踪
软件安全
常见的安全设计问题
有缺陷的输入验证
FindBugs帮助文档
Product name产品名称Confidentiality level密级FindBugs帮助文档内部公开Product version产品版本Total 29 pages 共29页V1.0FindBugs帮助文档（软件工程部）Prepared by拟制邓爱平36829Date日期2008-10-16Reviewed by 审核人Date 日期Reviewed by 审核人Date 日期Authorized by批准Date日期Huawei Technologies Co., Ltd.华为技术有限公司All rights reserved版权所有侵权必究文档版本 1.1 (2006-03-01) 华为技术有限公司1-1文档版本 1.1 (2006-03-01) 华为技术有限公司1-2修订记录日期文档版本产品版本描述作者2008-10-16 1.0 初稿邓爱平36829文档版本 1.1 (2006-03-01) 华为技术有限公司1-3目录(Contents)1 目的和范围................................................................................................................................... 1-61.1 目的 .............................................................................................................................................. 1-61.2 范围 .............................................................................................................................................. 1-62 FindBugs使用 .............................................................................................................................. 2-62.1 FindBugs简介................................................................................................................................ 2-62.1.1 FindBugs能解决的问题......................................................................................................... 2-62.1.2 同类产品介绍 ....................................................................................................................... 2-92.2 如何安装FindBugs ........................................................................................................................ 2-92.2.1 图形界面/命令行................................................................................................................... 2-92.2.2 安装Eclipse插件................................................................................................................... 2-92.3 如何使用FindBugs ...................................................................................................................... 2-122.3.1 在图形界面下使用FindBugs(JDK1.5上进行)...................................................................... 2-122.3.2 在命令行下使用FindBugs .................................................................................................. 2-152.3.3 在Eclipse下使用FindBugs .................................................................................................. 2-172.3.4 通过ant任务脚本使用FindBugs .......................................................................................... 2-202.4 FindBugs的高级功能................................................................................................................... 2-222.4.1 规则配置............................................................................................................................. 2-222.4.2 使用过滤器......................................................................................................................... 2-222.4.3 FindBugs的局限性.............................................................................................................. 2-232.4.4 FindBugs推行细则.............................................................................................................. 2-243 常见问题FAQ及其解答............................................................................................................ 3-243.1 在Eclipse下在更改了检查出的错误后，为什么无法实时刷新检查结果 ...................................... 3-243.2 在Eclipse下使用FindBugs时，如何将发现的问题显示在Problems视图中................................. 3-243.3 为什么Eclipse插件加载不成功.................................................................................................... 3-253.4 如何配置FindBugs的通过准则.................................................................................................... 3-253.5 为什么在图形界面下使用FindBugs时，关联不到源代码............................................................ 3-253.6 文档胶片中说到的FindBugs帮助文档在什么地方....................................................................... 3-263.7 到什么地方获取FindBugs相关资料............................................................................................. 3-263.8 对于不修改的Bug，怎么给出原因说明....................................................................................... 3-263.9 Findbugs占用大量内存，而且运行时间很长，应该如何缩短运行时间.................................... 3-27文档版本 1.1 (2006-03-01) 华为技术有限公司1-43.10 每个工程目录下的.fbprefs 文件有何作用................................................................................. 3-273.11 Bug Explorer窗口的export有何功能 .......................................................................................... 3-283.12 如何了解findbugs提供的每个规则的含义 ................................................................................. 3-284 参考引用..................................................................................................................................... 4-28文档版本 1.1 (2006-03-01) 华为技术有限公司1-51 目的和范围1.1 目的FindBugs 是一个代码静态分析工具，它检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。
白盒测试的静态分析工具推荐辅助测试的利器
白盒测试的静态分析工具推荐辅助测试的利器白盒测试是一种软件测试方法，它通过测试程序内部的结构、设计和实现来评估系统的质量。
为了提高白盒测试的效率和准确性，静态分析工具成为了不可或缺的辅助工具。
本文将推荐一些常用的白盒测试的静态分析工具，帮助测试人员提高测试效率和测试质量。
一、FindBugsFindBugs是一个基于静态分析原理的开源工具，用于发现Java代码中的潜在缺陷。
它利用Java字节码层面的分析技术，能够对代码中的常见错误、异常控制流、并发问题等进行检测。
FindBugs提供了丰富的规则集合，可以根据项目需求进行配置和扩展。
该工具还能够与主流的集成开发环境（IDE）进行整合，帮助开发人员及时发现和修复代码缺陷。
二、PMDPMD也是一款开源的静态分析工具，主要用于检测Java代码中的潜在问题和不良实践。
它通过静态分析代码，识别出代码中的潜在缺陷、可维护性问题、性能问题等。
PMD提供了丰富的规则集，开发人员可以根据项目需求进行配置和定制。
除了Java，PMD还支持其他编程语言，如C/C++、JavaScript等。
使用PMD可以帮助测试人员发现并修复代码中的问题，提高代码质量和可维护性。
三、CheckstyleCheckstyle是一个用于Java代码规范检查的工具，它可以帮助开发人员遵循一致的编码规范，提高代码的可读性和可维护性。
Checkstyle 支持多种常见的编码规范，例如Google Java Style、Sun Code Conventions等。
该工具通过静态分析代码，识别出代码中不符合规范的部分，并给出相应的警告和建议。
测试人员可以利用Checkstyle来保证测试代码的规范性和质量。
四、SonarQubeSonarQube是一个用于代码质量管理的开源平台，旨在帮助开发团队提高代码质量和可维护性。
SonarQube支持多种编程语言，如Java、C/C++、C#等，提供了丰富的代码质量度量指标和规则集。
关于FindBugs插件
关于FindBugs插件1FindBugs简介FindBugs是Eclipse的一个插件，是一个静态分析工具。
主要作用就是基于其中的Bug Patterns 列表，检查java字节码，也就是.class文件。
通俗点讲，就是依据Bug Patterns在java程序中查找bug。
Bug Patterns中存放的是可能出错的代码实例。
它能寻找出编译代码时未报错的代码缺陷，包括能检查出一些可优化的地方。
例如：未关闭的数据库连接，缺少必要的null check，多余的 null check，多余的if后置条件，相同的条件分支，重复的代码块，错误的使用了"=="，建议使用StringBuffer代替字符串连加等等。
这些都是FindBugs默认具有的检查功能，除此外，我们还可以自己配置检查规则，可以自己定义效验类，通过将自己定义的类放置Bug Patterns中（当然，这里必须参照原有的Bug Patterns内容，要有继承它的接口等操作），就可以按照我们自己所定义的规则进行代码的检查。
2FindBugs的使用与其他插件一样，用法很简单，也没有什么很繁琐的过程，就通过一个实例来说明FindBugs的使用情况吧。
新建一个java工程，然后新建一个java源文件，在源文件中输入以下内容：public class Test {private String[] name;public String[] getName() {return name;}public void setName(String[] name) { = name;}}保存后，不会报错。
首先熟悉一下有关透视图，点击Window，打开试图，通过other选项，选择FindBugs，出现包含Bug Tree、Bug Details、Bug User Annotations三个试图。
如图1所示：图 1图中：Bug Tree：主要是以树的形式展现通过FindBugs操作后出现的问题列表；Bug Details：主要是展现通过FindBugs操作后出现问题的详细位置说明；Bug User Annotations：主要是用户对此Bug的注解。
代码质量与静态分析SonarQubePMDFindBugs
代码质量与静态分析SonarQubePMDFindBugs代码质量与静态分析在软件开发过程中，代码质量一直是一个至关重要的问题。
优秀的代码质量不仅能够提高软件的可维护性和可扩展性，还能够减少潜在的bug和故障发生的概率。
为了保证代码质量，静态分析工具成为开发人员的得力助手。
而在众多静态分析工具中，SonarQube、PMD和FindBugs是最为常用的几种。
一、SonarQubeSonarQube是一款开源的静态代码分析工具，能够对代码进行全面的检查和评估。
它可以检查代码是否符合编码规范、是否存在代码重复、潜在的安全问题等等。
SonarQube基于静态分析原理，通过扫描代码，生成相应的报告和指标，帮助开发人员发现和修复问题。
SonarQube支持多种编程语言，如Java、C#、Python等，具有很强的灵活性和可扩展性。
二、PMDPMD是另一种常用的静态代码分析工具，它旨在检测和识别代码中的潜在问题和错误。
PMD通过解析代码，应用一系列的规则和规范，检查代码的可读性、性能、安全性等方面的问题。
PMD支持多种编程语言，如Java、C++、JavaScript等，可以帮助开发人员提高代码质量和规范性。
三、FindBugsFindBugs是一个基于静态分析的开源工具，主要用于检测Java代码中的潜在bug和错误。
FindBugs通过静态分析代码，发现类似空指针引用、资源泄露、代码逻辑错误等问题，并生成相应的报告和建议。
它提供了丰富的规则库，可以根据具体需求进行自定义配置。
FindBugs在代码审查和优化方面具有很高的价值。
四、代码质量与静态分析的关系代码质量和静态分析密切相关。
静态分析工具可以帮助开发人员发现潜在的问题，减少代码中的bug和错误。
通过使用SonarQube、PMD和FindBugs等工具，开发团队可以及时检测到代码中的问题，并有针对性地进行修复和优化。
这些工具提供的报告和指标，能够直观地反映代码的质量状况，帮助团队监控和改进代码的质量。
代码静态检查工具与应用介绍
代码静态检查工具与应用介绍代码的质量直接关系到软件的性能和可靠性。
为了提高代码质量，开发人员常常采用代码静态检查工具来检测潜在的代码缺陷和错误。
本文将介绍常用的代码静态检查工具及其应用，帮助读者更好地理解和应用这些工具。
一、什么是代码静态检查工具？代码静态检查工具是一类软件工具，通过扫描源代码来检查潜在的编程错误、不合规范的代码和潜在的安全隐患。
它可以在代码编写的早期发现问题，帮助开发人员提前修复错误，从而提高代码质量。
二、常用的代码静态检查工具1. FindBugs：FindBugs是一个基于Java字节码的静态分析工具，用于查找Java程序中的潜在缺陷。
它可以检测出空指针引用、资源未释放、不必要的对象创建等问题，并提供详细的问题报告。
2. PMD：PMD是一个针对Java源代码的静态规则检查工具。
它可以帮助开发人员发现代码中的潜在问题，如未使用的变量、无效的方法重写、复杂的表达式等。
PMD提供了多种规则，可以根据项目需求进行配置和定制。
3. ESLint：ESLint是用于JavaScript代码的静态检查工具，它能帮助开发人员发现代码中的潜在问题并提供修复建议。
ESLint支持可配置的规则集，可以根据项目需求进行灵活的配置。
4. Checkstyle：Checkstyle是一个用于Java代码的静态规则检查工具。
它可以帮助开发人员遵循编码规范，并提供统一的代码风格。
Checkstyle支持自定义规则和可配置的检查选项，以满足项目的需求。
三、代码静态检查工具的应用1. 代码质量控制：代码静态检查工具能够帮助开发人员发现代码缺陷和不规范的编码风格，并及时提供修复建议。
通过使用这些工具，可以规范代码质量，提高代码的可读性和可维护性。
2. 安全漏洞检测：代码静态检查工具能够帮助开发人员发现潜在的安全隐患，如SQL注入、跨站脚本攻击等。
通过及时修复这些问题，可以提高软件的安全性和可靠性。
3. 性能优化：代码静态检查工具还可以检测不合理的代码结构和低效的算法，帮助开发人员发现性能瓶颈，并提供相应的优化建议。
提高代码质量的静态分析工具推荐
提高代码质量的静态分析工具推荐在软件开发过程中，提高代码质量是一项至关重要的任务。
一个高质量的代码可以减少潜在的代码缺陷，提高可维护性和可扩展性，减少调试时间，降低维护成本。
其中，静态分析工具是一个非常有用的技术手段。
静态分析是指在不执行代码的情况下对代码进行分析，旨在发现代码中的问题并提供相关建议和改进意见。
下面是一些常见的提高代码质量的静态分析工具。
1. SonarQube：SonarQube是一个开放源代码的静态代码质量管理平台。
它可以对多种编程语言进行静态分析，包括Java、C/C++、C#、JavaScript等。
SonarQube可以检查代码规范性、代码重复、潜在的漏洞等，并提供可视化的报告和指标。
它还集成了其他工具，如FindBugs、Checkstyle等，可以提供更全面的代码分析。
2. PMD：PMD是一个基于规则的静态代码分析工具，支持Java、C/C++、Apex、PLSQL等多种语言。
PMD可以检查代码的规范性、性能问题、潜在的错误和漏洞等，提供详细的报告和建议。
PMD还支持自定义规则，可以根据具体项目的需求扩展分析功能。
3. FindBugs：FindBugs是一个基于静态分析的Java程序缺陷检测工具。
它可以检查代码中的潜在缺陷，如空指针引用、错误使用异常处理、不可达代码等。
FindBugs使用一组预定义的规则来检查代码，并提供详细的报告和建议。
它还支持自定义规则和插件，以满足特定项目的需求。
4. ESLint：ESLint是一个用于JavaScript和TypeScript的静态代码分析工具。
它可以检查代码的规范性、潜在的错误、性能问题等，并提供高度可配置的规则和可定制的报告格式。
ESLint支持在开发过程中自动检查代码，并可以与编辑器和构建工具集成，提供实时的反馈和建议。
5. Checkstyle：Checkstyle是一个用于Java代码的静态代码分析工具。
它可以检查代码的规范性，如命名约定、代码布局、注释规范等。
findbugs 用法
findbugs用法FindBugs是一款由加州大学伯克利分校的Java开发者团队开发的静态代码分析工具，主要用于发现Java代码中的潜在错误和漏洞。
本文将向您介绍FindBugs的基本用法，帮助您更好地利用这款工具提高代码质量。
一、FindBugs简介FindBugs是一款免费的开源工具，它通过分析Java代码的语法、数据流、异常处理等方面，发现潜在的错误和漏洞。
FindBugs可以帮助开发者发现一些不易被人工发现的错误，提高代码质量，减少软件缺陷。
二、安装FindBugs要使用FindBugs，您需要先将其安装到您的系统中。
FindBugs支持Windows、Linux和MacOSX等操作系统。
安装过程相对简单，您可以从FindBugs官方网站下载最新版本的FindBugs，并根据安装指南进行安装。
三、使用FindBugs进行代码分析安装完成后，您可以使用FindBugs对Java代码进行静态分析。
以下是使用FindBugs进行代码分析的基本步骤：1.打开FindBugs分析器界面，将要分析的Java代码文件上传到分析器中。
2.选择要进行静态分析的选项，如是否包含测试代码等。
3.等待分析器进行分析，生成报告。
4.查看分析报告，了解代码中的潜在错误和漏洞。
以下是一些使用FindBugs的常见用法示例：1.查找未使用的变量：FindBugs可以检测到未使用的变量，这可能是由于开发者疏忽或无意中留下的漏洞。
2.查找空指针引用：FindBugs可以检测到可能出现的空指针引用错误，这可能导致程序崩溃或出现不可预期的行为。
3.查找内存泄漏：FindBbugs可以检测到可能的内存泄漏问题，如对象引用未被释放等。
4.查找线程安全问题：FindBugs可以检测到线程安全问题，如并发修改共享数据等。
五、优化FindBugs结果使用FindBugs分析后，您可能会发现一些潜在的问题和漏洞。
对于这些问题和漏洞，您可以采取以下优化措施：1.修复错误：对于发现的错误和漏洞，您应该尽快修复它们，以确保代码的质量和稳定性。
sonarqube findbugs 实现原理
sonarqube findbugs 实现原理SonarQube FindBugs 是一个开源的代码静态分析工具，它主要用于在 Java 代码中找出潜在的错误和漏洞。
FindBugs 使用静态分析技术对代码进行扫描，不需要运行时环境，也不需要编译后的字节码。
它基于字节码分析技术，通过对类文件（.class 文件）进行分析，以发现代码中的错误。
以下是 SonarQube FindBugs 实现原理的详细说明：一、下载和安装首先，需要从 SonarQube 官网下载 FindBugs 的 ZIP 文件，并解压到适当的位置。
然后，通过配置 SonarQube 的启动脚本（例如StartSonar.bat），将 FindBugs 集成到 SonarQube 中。
二、架构和组成FindBugs 的架构包括三个主要组件：FindBugs UI、FindBugs Plugin 和 FindBugs Engine。
FindBugs UI 用于展示分析结果和错误信息，FindBugs Plugin 是将 FindBugs 集成到 SonarQube 中的插件，FindBugs Engine 是执行实际分析的引擎。
三、工作原理FindBugs 使用静态分析技术对 Java 代码进行扫描。
它通过读取类文件（.class 文件）中的字节码信息，分析其中的指令和数据流，以发现潜在的错误和漏洞。
FindBugs 使用一组规则（称为检查器）来检查代码中的问题。
这些规则涵盖了常见的编程错误和安全漏洞，例如空指针异常、资源泄露、数据竞争等。
四、检查器的工作方式FindBugs 使用了一种称为“静态单赋值”（SSA）的中间表示形式来分析代码。
在这种表示形式中，每个变量只有一个赋值点，这有助于提高分析的精度。
FindBugs 通过遍历代码中的每个节点，对每个节点的操作进行静态单赋值分析，以确定可能存在的问题。
五、结果展示FindBugs 分析完成后，将结果展示在 SonarQube UI 中。
Findbugs使用简介
Findbugs使用简介Findbugs是一个在java程序中查找bug的程序，它查找bug模式的实例，也就是可能出错的代码实例，注意Findbugs是检查java字节码，也就是*.class文件。
其实准确的说，它是寻找代码缺陷的，很多我们写的不好的地方，可以优化的地方，它都能检查出来。
例如：未关闭的数据库连接，缺少必要的null check，多余的null check，多余的if后置条件，相同的条件分支，重复的代码块，错误的使用了"=="，建议使用StringBuffer代替字符串连加等等。
而且我们还可以自己配置检查规则(做哪些检查,不做哪些检查)，也可以自己来实现独有的校验规则(用户自定义特定的bug模式需要继承它的接口,编写自己的校验类,属于高级技巧)。
Findbugs是一个静态分析工具，它检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。
Findbugs自带检测器，其中有60余种Bad practice，80余种Correctness，1种Internationalization，12种Malicious code vulnerability，27种Multithreaded correctness，23种Performance，43种Dodgy。
Bad practice 坏的实践一些不好的实践，下面列举几个：HE：类定义了equals()，却没有hashCode()；或类定义了equals()，却使用Object.hashCode()；或类定义了hashCode()，却没有equals()；或类定义了hashCode()，却使用Object.equals()；类继承了equals()，却使用Object.hashCode()。
SQL：Statement 的execute方法调用了非常量的字符串；或Prepared Statement是由一个非常量的字符串产生。
FindBugs安装及配置使用说明
FindBugs插件安装及配置使用说明目录FindBugs插件安装及配置使用说明 (1)用途 (1)安装 (1)配置 (2)运行 (3)其他说明 (8)额外收获 (10)用途FindBugs 是一个java bytecode静态分析工具，它可以帮助java工程师提高代码质量以及排除隐含的缺陷，以期尽可能在项目的初始阶段将代码问题解决。
FindBugs检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。
有了静态分析工具，就可以在不实际运行程序的情况对软件进行分析。
FindBugs不是通过分析类文件的形式或结构来确定程序的意图，而是通常使用Visitor 模式进行分析。
安装1.打开eclipse.Help > Software Updates ->Find and Install.选择Search for new features to install.>next> New Remote Site…在对话框里填写如下:Name: findbugs.URL: /eclipse>确定选中findbugs>Finish2. 在新出来的对话框中,选中findbugs(注意: 此时如果装了Myeclipse插件, 这里可能会报错. 请先在eclipse的links文件夹下面将Myeclipse的link文件移除, 然后等findbugs装完之后, 再将Myeclipse的link文件放进来)>next选中”I accept the terms in the license agreement”>Next>Finish>Install>Yes (重启eclipse)findbugs 安装完成配置1.打开FindBugs视图:Windows => Show View => Other… => FindBugs => Bug Info 、Bug Explorer、Bug Reviews2.配置FindBugs 选择你的项目=>右键=> Properties => FindBugs => 选中”runfindbugs automatically”=> OKFindbugs各项属性的配置说明：Run Findbugs automnaticaly：编译工程和文件的时候自动运行Minimum priority to report：根据bug的优先权级别报告bug。