Java Source Code Static Analysis Tool：FindBugs

待我称王封你为后i 2021-11-17 20:42 171阅读 0赞

1.Introduction

FindBugs Official Website：[http://findbugs.sourceforge.net/][http_findbugs.sourceforge.net]

FindBugs is a defect detection tool for Java that uses static analysis to look for more than 200 bug patterns.

FindBugs 是一个java bytecode静态分析工具，它可以帮助java工程师提高代码质量以及排除隐含的缺陷。

FindBugs检查类或者 JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。

2.Download and Install FindBugs

3.FingBugs Check Items：

FindBugs提供了35个检测器来检测字节码中可能的缺陷。可以做的事情主要有：

#### 2.1 找出 hash equals 不匹配 ####

找与 `equals()` 和 `hashCode()` 的实现相关的几个问题。这两个方法非常重要，因为几乎所有基于集合的类---List、Map、Set 等都调用它们。一般来说，这个检测器寻找两种不同类型的问题:

①当一个类重写对象的 `equals()` 方法，但是没有重写它的 `hashCode` 方法，或者相反的情况时。

②定义一个 co-variant 版本的 `equals()` 或 `compareTo()` 方法。例如， `Bob` 类定义其 `equals()` 方法为布尔 `equals(Bob)` ，它覆盖了对象中定义的`equals()` 方法。因为 Java 代码在编译时解析重载方法的方式，在运行时使用的几乎总是在对象中定义的这个版本的方法，而不是在 `Bob` 中定义的那一个（除非显式将 `equals()` 方法的参数强制转换为 `Bob` 类型）。因此，当这个类的一个实例放入到类集合中的任何一个中时，使用的是 `Object.equals()` 版本的方法，而不是在 `Bob` 中定义的版本。在这种情况下， `Bob` 类应当定义一个接受类型为 `Object` 的参数的 `equals()` 方法。

#### 2.2 检测：忽略方法返回值 ####

这个检测器查找代码中忽略了不应该忽略的方法返回值的地方。这种情况的一个常见例子是在调用 `String` 方法时，例如:``

`1 String aString = "bob";`

`2 b.replace('b', 'p');`

`3 if(b.equals("pop"))`

这个错误很常见。在第 2 行，程序员认为他已经用 p 替换了字符串中的所有 b。确实是这样，但是他忘记了字符串是不可变的。所有这类方法都返回一个新字符串，而从来不会改变消息的接收者。

#### 2.3 检测：Null 指针对 null 的解引用（dereference）和冗余比较 ####

这个检测器查找两类问题。它查找代码路径将会或者可能造成 null 指针异常的情况，它还查找对 null 的冗余比较的情况。例如，如果两个比较值都为 null，那么它们就是冗余的并可能表明代码错误。FindBugs 在可以确定一个值为 null 而另一个值不为 null 时，检测类似的错误，例如：

`1 Person person = aMap.get("bob");`

`2 if (person != null) {`

`3 person.updateAccessTime();`

`4 }`

`5 String name = person.getName();`

在这个例子中，如果第 1 行的 `Map` 不包括一个名为“bob”的人，那么在第 5 行询问 `person` 的名字时就会出现 null 指针异常。因为 FindBugs 不知道 map 是否包含“bob”，所以它将第 5 行标记为可能 null 指针异常。

#### 2.4 检测：初始化之前读取字段 ####

这个检测器寻找在构造函数中初始化之前被读取的字段。这个错误通常是由使用字段名而不是构造函数参数引起的，例如在构造函数中读取未初始化的字段:

`1 public class Thing {`

`2 private List actions;`

`3 public Thing(String startingActions) {`

`4 StringTokenizer tokenizer = new StringTokenizer(startingActions);`

`5 while (tokenizer.hasMoreTokens()) {`

`6 actions.add(tokenizer.nextToken());`

`7 }`

`8 }`

`9 }`

在这个例子中，第 6 行将产生一个 null 指针异常，因为变量 `actions` 还没有初始化。

#### 2.5 命名检查 ####

对标准 Java 命令规范的测试：变量名称不应太短；方法名称不应过长；类名称应当以小写字母开头；方法和字段名应当以小写字母开头，等等。

#### 2.6 未使用的代码检查 ####

查找从未使用的私有字段和本地变量、执行不到的语句、从未调用的私有方法，等等。

#### 2.7 嵌套检查 ####

例如： switch 语句应当有 default 块，应当避免深度嵌套的 if 块，不应当给参数重新赋值，不应该对 double 值进行相等比较。

#### 2.8 导入语句检查 ####

检查 import 语句的问题，比如同一个类被导入两次或者被导入 java.lang 的类中。

#### 2.9 JUnit 测试检查 ####

查找测试用例和测试方法的特定问题，例如方法名称的正确拼写，以及 suite() 方法是不是 static 和 public。

#### 2.10 字符串检查 ####

找出处理字符串时遇到的常见问题，例如重复的字符串标量，调用 String 构造函数，对 String 变量调用 toString() 方法。

#### 2.11 括号检查 ####

检查 for、 if、 while 和 else 语句是否使用了括号。

#### 2.12 代码尺寸检查 ####

测试过长的方法、有太多方法的类以及重构方面的类似问题。

#### 2.13 终结函数检查 ####

因为在 Java 语言中， finalize() 方法不是那么普遍，它们的使用规则虽然很详细，但是人们对它们相对不是很熟悉。这类检查查找 finalize() 方法的各种问题，例如空的终结函数，调用其他方法的 finalize() 方法，对 finalize() 的显式调用，等等。

#### 2.14 克隆检查 ####

用于 clone() 方法的新规则。凡是重写 clone() 方法的类都必须实现 Cloneable， clone() 方法应该调用 super.clone()，而 clone() 方法应该声明抛出CloneNotSupportedException 异常，即使实际上没有抛出异常，也要如此。

#### 2.15 耦合检查 ####

查找类之间过度耦合的迹象，比如导入内容太多；在超类型或接口就已经够用的时候使用子类的类型；类中的字段、变量和返回类型过多等。

#### 2.16 异常检查 ####

针对异常的检查：不应该声明该方法而抛出 java.lang.Exception 异常，不应当将异常用于流控制，不应该捕获 Throwable，等等。

#### 2.17 日志检查 ####

查找 java.util.logging.Logger 的不当使用，包括非终状态（nonfinal）、非静态的记录器，以及在一个类中有多个记录器。

#### 2.18 Open—Close检查 ####

检查文件或通讯方面，是否忘记Close的情况。

#### 2.19 其它检查 ####

其它缺陷清单可参见：[缺陷清单][Link 1]

#### 2.20 构建自己的规则集 ####

可以构建自己的规则集

转载于:https://www.cnblogs.com/yefengmeander/archive/2013/02/22/2921474.html

[http_findbugs.sourceforge.net]: http://findbugs.sourceforge.net/
[Link 1]: http://findbugs.sourceforge.net/bugDescriptions.html

Java Source Code Static Analysis Tool：FindBugs

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 IDEA如何关闭Performing Code Analysis？

相关 Python Source Code Encodings

相关 static code analysis

相关 Android Source Code Complie

相关 java.lang.StackTraceElement source code

相关 IDEA Perform Code analysis卡住解决

相关 Code analysis tools 'FxCop' for .net

相关 Java Source Code Static Analysis Tool：FindBugs

相关 Source Code of Java - Boolean

相关 Source Code of Java - StringBuffer