`

Findbugs使用手册

阅读更多

Findbugs是一个在java程序中查找bug的程序,它查找bug模式的实例,也就是可能出错的代码实例,注意Findbugs是检查java字节码,也就是*.class文件。其实准确的说,它是寻找代码缺陷的,很多我们写的不好的地方,可以优化的地方,它都能检查出来。例如:未关闭的数据库连接,缺少必要的null check,多余的 null check,多余的if后置条件,相同的条件分支,重复的代码块,错误的使用了"==",建议使用StringBuffer代替字符串连加等等。而且我们还可以自己配置检查规则(做哪些检查,不做哪些检查),也可以自己来实现独有的校验规则(用户自定义特定的bug模式需要继承它的接口,编写自己的校验类,属于高级技巧)。

 

Findbugs是一个静态分析工具,它检查类或者JAR 文件,将字节码与一组缺陷模式进行对比以发现可能的问题。Findbugs自带检测器,其中有60余种Bad practice,80余种Correctness,1种 Internationalization,12种Malicious code vulnerability,27种Multithreaded correctness,23种Performance,43种Dodgy。

 

Bad practice 坏的实践

一些不好的实践,下面列举几个:

HE 类定义了equals(),却没有hashCode();或类定义了equals(),却使用

Object.hashCode();或类定义了hashCode(),却没有equals();或类定义了hashCode(),却使用Object.equals();类继承了equals(),却使用Object.hashCode()

SQLStatement execute方法调用了非常量的字符串;或Prepared Statement是由一个非常量的字符串产生。

DE 方法终止或不处理异常,一般情况下,异常应该被处理或报告,或被方法抛出。


Correctness 一般的正确性问题

可能导致错误的代码,下面列举几个:

NP 空指针被引用;在方法的异常路径里,空指针被引用;方法没有检查参数是否nullnull值产生并被引用;null值产生并在方法的异常路径被引用;传给方法一个声明为@NonNullnull参数;方法的返回值声明为@NonNull实际是null

Nm 类定义了hashcode()方法,但实际上并未覆盖父类ObjecthashCode();类定义了tostring()方法,但实际上并未覆盖父类ObjecttoString();很明显的方法和构造器混淆;方法名容易混淆。

SQL方法尝试访问一个Prepared Statement0索引;方法尝试访问一个ResultSet0索引。

UwF所有的write都把属性置成null,这样所有的读取都是null,这样这个属性是否有必要存在;或属性从没有被write


Internationalization 国际化

当对字符串使用upperlowercase方法,如果是国际的字符串,可能会不恰当的转换。

      

 Malicious code vulnerability 可能受到的恶意攻击

如果代码公开,可能受到恶意攻击的代码,下面列举几个:

FI 一个类的finalize()应该是protected,而不是public的。

MS属性是可变的数组;属性是可变的Hashtable;属性应该是package protected的。

      

Multithreaded correctness 多线程的正确性

多线程编程时,可能导致错误的代码,下面列举几个:

ESync空的同步块,很难被正确使用。

MWN错误使用notify(),可能导致IllegalMonitorStateException异常;或错误的

使用wait()

No  使用notify()而不是notifyAll(),只是唤醒一个线程而不是所有等待的线程。

SC  构造器调用了Thread.start(),当该类被继承可能会导致错误。

      
Performance
性能问题

可能导致性能不佳的代码,下面列举几个:

DM方法调用了低效的Boolean的构造器,而应该用Boolean.valueOf();用类似

Integer.toString(1) 代替new Integer(1).toString();方法调用了低效的float的构造器,应该用静态的valueOf方法。

SIC如果一个内部类想在更广泛的地方被引用,它应该声明为static

SS 如果一个实例属性不被读取,考虑声明为static

UrF如果一个属性从没有被read,考虑从类中去掉。

UuF如果一个属性从没有被使用,考虑从类中去掉。

      

Dodgy 危险的

具有潜在危险的代码,可能运行期产生错误,下面列举几个:

CI 类声明为final但声明了protected的属性。

DLS对一个本地变量赋值,但却没有读取该本地变量;本地变量赋值成null,却没有读取该本地变量。

ICAST 整型数字相乘结果转化为长整型数字,应该将整型先转化为长整型数字再相乘。

INT没必要的整型数字比较,如X <= Integer.MAX_VALUE

NP readline()的直接引用,而没有判断是否null;对方法调用的直接引用,而方法可能返回null

REC直接捕获Exception,而实际上可能是RuntimeException

       ST: 从实例方法里直接修改类变量,即static属性。

 

1、和Ant配合使用

http://findbugs.sourceforge.net/downloads.html下载最新版本的Findbugs,目前的版本是1.3.0, 2007118日发布。把解压后目录复制到项目的lib目录下,然后就可以和Ant配合使用了。FindBugs工作在j2se1.4.0或以后的版本中,需要至少256MB内存。

Ant脚本中,首先定义Findbugs的解压目录位置:

<path id="findbugs.path" >

     <fileset  dir ="${lib.home}/findbugs-1.3.0">

        <include  name ="**/*.jar"/>

     </fileset>

</path>

接着声明Findbugs任务:

<taskdef name="findbugs" 

classname="edu.umd.cs.findbugs.anttask.FindBugsTask" 

classpathref ="findbugs.path"/>

然后建立Findbugs任务:

<property name ="findbugs.home"  value ="${lib.home}/findbugs-1.3.0"/>

<!--  定义findbugs的home,findbugs的task要使用  -->

<target name ="findbugs">

<findbugs home ="${findbugs.home}" includeFilter="${findbugs_include_filter}"

excludeFilter="${findbugs_exclude_filter}"

  jvmargs="-Xmx384m"  output ="html" 

outputFile ="d:\test.html">

           <class location ="${build.home}/WEB-INF/classes/"/>

           <!--  以上定义findbugs查找的类路径  -->

<auxClasspath path="${lib.home}/findbugs-1.3.0/lib/findbugs-ant.jar"/>

           <auxClasspath>

          <fileset dir="${build.home}/WEB-INF/lib" includes="**/*.jar" />

           </auxClasspath>

           <!--  以上定义上述类所依赖的类路径  -->

           <sourcePath path ="${src.home}"/>

           <!--  以上定义源代码的路径  -->

       </findbugs >

</target >

最后运行ant findbugs即可。

 

2、Eclipse插件

Eclipse当中安装Findbugs插件和安装CheckStyle一样,可以参照以下五个步骤进行:

a.       Eclipse当中分别打开一下菜单 Help->Software Updates->Find and Install

b.       选择 Search for new features to install 选项然后点击 Next

c.       新建一个 New Remote Site...

d.       输入名称(比如:Findbugs Plug-in)和下面的URLhttp://findbugs.cs.umd.edu/eclipse

e.       开始安装

    安装好Findbugs以后,选择Windows -> Show View -> Other… -> FindBugs -> BugDetails打开Bug Details视图。

    然后在Package Explorer或Navigator视图中,选中你的Java项目,点击右键,可以看到“Find Bugs”菜单项,子菜单项里有“Find Bugs”和“Clear Bug Markers”两项内容。

    我们点中“Find Bugs”,运行结束后可以在Problems中看到增加了如下的警告信息内容。(图略)

    FindBugs运行后的警告信息内容不仅在Problems视图中显示,而且将标记在源代码标记框中,在源代码编辑器中我们可以看到警告标识, 当光标指向你的警告信息的代码上面时,就会有相应的错误提示信息,与Eclipse本身的错误或警告信息提示类似。
    选中Problems视图里出现的相应问题,就会在代码编辑器里切换到相应的代码上去,方便根据相应的提示信息进行代码的修改。

    在Problems视图里,选中相应的问题条目,右键,在弹出的菜单中,可以看到“Show Bug Details”。

       点中它,会切换到Bug Details视图上去,显示更加详细的提示信息。当然,在代码编辑窗口中,点击带有警告提示信息的图标时,也会自动切换到Bug Details窗口去,查看详细的警告信息。

    选择你的项目,右键点击 Properties,选择 FindBugs可以配置Findbugs的一些选项。

 

3、 使用过滤器

使用过滤器我们就可以定义使用哪些bug检测器和针对哪些类进行检查,因为一旦项目比较庞大,那查看冗长的bug报告也是十分痛苦的事情。使用过滤器,过滤器用来包含或排除特殊的bug报告。这样做有助于在特定的时间段内,聚焦我们的关注点。过滤器实际是在一个xml文件定义的,xml配置文件的内容如下:

<FindBugsFilter>

     <!--  所有类使用bugcode为HE的检测器  -->

     <Match>

         <BugCode  name ="HE"/>

     </Match>

     <!--  该类使用所有的bug检测器  -->

     <Match class ="com.foobar.AClass"/>    

     <!--  该类使用bugcode为HE的检测器  -->

     <Match class ="com.foobar.BClass">

         <BugCode  name ="HE"/>

     </Match>

     <!--  该类的AMethod和BMethod方法使用bugcode为HE的检测器  -->

     <Match class ="com.foobar.CClass">

         <Or>

             <Method name ="AMethod"/>

             <Method name ="BMethod"/>

         </Or>

         <BugCode name ="HE"/>

     </Match>

</FindBugsFilter>

 

4、Findbugs过滤器的一些元素讲解:

<FindBugsFilter>

	<!--  该类使用所有的bug检测器  -->
	<Match>
		<Class name="com.foobar.MyClass" />
	</Match>

	<!--  该类使用bugcode为HE的检测器  -->
	<Match class="com.foobar.BClass">
		<BugCode name="HE" />
	</Match>

	<!--  该类通过指定缩写名使用一些bug检测器  -->
	<Match>
		<Class name="com.foobar.MyClass" />
		<Bug code="DE,UrF,SIC" />
	</Match>

	<!--  所有类使用bugcode为HE的检测器  -->
	<Match>
		<BugCode name="HE" />
	</Match>

	<!--  所有类使用bugcode为DE,UrF,SIC的检测器  -->
	<Match>
		<Bug code="DE,UrF,SIC" />
	</Match>

	<!--  所有类通过指定检测器种类使用某些检测器  -->
	<Match>
		<Bug category="PERFORMANCE" />
	</Match>

	<!--  该类的指定方法使用bugcode为DC的检测器  -->
	<Match>

		<Class name="com.foobar.MyClass" />
		<Or>
			<Method name="frob" params="int,java.lang.String" returns="void" />
			<Method name="blat" params="" returns="boolean" />
		</Or>
		<Bug code="DC" />

	</Match>

	<!--  该类的AMethod和BMethod方法使用bugcode为DE,UrF,SIC的检测器  -->
	<Match>
		<Class name="com.foobar.MyClass" />
		<Or>
			<Method name="AMethod" />
			<Method name="BMethod" />
		</Or>
		<BugCode name="DE,UrF,SIC " />
	</Match> 

    <!--  该类的指定方法使用bug模式为OS_OPEN_STREAM的检测器 -->
	<Match>
		<Class name="com.foobar.MyClass" />
		<Method name="writeDataToFile" />
		<Bug pattern="OS_OPEN_STREAM" />
	</Match>

    <!-- 该类的某个方法使用优先级为2的bug模式DLS_DEAD_LOCAL_STORE 的检测器-->
	<Match>
		<Class name="com.foobar.MyClass" />
		<Method name="someMethod" />
		<Bug pattern="DLS_DEAD_LOCAL_STORE" />
		<Priority value="2" />
	</Match>

    <!-- 代码的指定部分使用指定bugcode或bug模式的检测器 -->
    <!-- 所有包的信息类使用bugcode为UUF的检测器-->
	<Match>
		<Class name="~.*\.Messages" />
		<Bug code="UUF" />
	</Match>

    <!-- 所有内部包使用bugcode为MS的检测器-->
	<Match>
		<Package name="~.*\.internal" />
		<Bug code="MS" />
	</Match>

    <!-- ui包层使用bug模式为SIC_INNER_SHOULD_BE_STATIC_ANON的检测器-->
	<Match>
		<Package name="~com\.foobar\.fooproject\.ui.*" />
		<Bug pattern="SIC_INNER_SHOULD_BE_STATIC_ANON" />
	</Match>

    <!-- 带指定标志的成员域或方法使用指定bugcode或bug模式的检测器-->
    <!-- 所有类中的void main(String[])方法使用bug模式为DM_EXIT的检测器-->
	<Match>
		<Method returns="void" name="main" params="java.lang.String[]" />
		<Bug pattern="DM_EXIT" />
	</Match>

    <!-- 所有类中的com.foobar.DebugInfo型的域使用bugcode为UuF的检测器-->
	<Match>
		<Field type="com.foobar.DebugInfo" />
		<Bug code="UuF" />
	</Match>

</FindBugsFilter>

 

 

 

分享到:
评论

相关推荐

    findbugs安装及使用手册

    这个安装及使用手册将帮助开发人员在编码阶段就能发现并修复问题,从而提高代码质量和可维护性。 1. **FindBugs简介** FindBugs通过分析字节码而非源代码来工作,它可以检测出许多常见的编程错误,如空指针异常、...

    FindBugs完全使用手册

    ### FindBugs完全使用手册 #### 一、FindBugs简介与重要性 FindBugs是一款专门用于Java字节码静态分析的工具,其主要功能在于帮助开发人员提高代码质量并发现潜在的缺陷。该工具通过对类文件或JAR文件进行分析,并...

    findbugs安装使用手册

    findbug的安装手册,分为插件和独立运行文件

    findbugs-1.3.9 java代码检查工具以及eclipse插件

    - `docs`目录:可能包含FindBugs的文档和使用手册。 - `bin`目录:可能包含可执行文件,如命令行工具。 - `examples`目录:可能包含示例代码,用于演示FindBugs的使用。 总之,FindBugs 1.3.9是Java开发者的一个...

    在Eclipse中配置findbug

    在Eclipse中配置FindBugs是一项重要的任务,因为这个工具能帮助开发者发现代码中的潜在问题,提高软件质量。...同时,结合阅读《findbugs安装使用手册.xls》这样的文档,将有助于深入理解和优化你的FindBugs使用体验。

    阿里巴巴Java开发手册V1.6(泰山版).zip

    推荐团队使用代码审查工具,如PMD、Checkstyle和FindBugs,以自动化检查代码质量。同时,推崇持续集成/持续部署(CI/CD),通过自动化流程确保代码的一致性和可靠性。 总之,《阿里巴巴Java开发手册V1.6(泰山版)...

    checkstyle使用手册

    ### CheckStyle 使用手册知识点详述 #### 一、CheckStyle 概述 - **定义**:CheckStyle 是 SourceForge 下的一个开源项目,旨在为 Java 开发者提供一套自动化工具,帮助他们遵循一定的编码规范和标准。 - **核心...

    阿里规约与findbugs

    该插件主要是对今年发布的《阿里巴巴 Java 开发规约》的一个延伸,它以一个 IDE 的插件存在,可以自动对手册中的 Java 不规范的问题进行提示。现在主要支持(IDEA、Eclipse),Android Studio 是基于 IDEA 的,所以...

    jenkinsk中文使用手册

    ### Jenkins中文使用手册知识点梳理 #### 一、概述 **持续集成的概念与核心价值** - **定义**: 持续集成是一种软件开发实践,强调团队成员频繁地将代码集成到共享仓库中,每次集成后都会通过自动化构建(包括编译...

    JAVA开发手册

    虽然阿里手册禁止使用拼音与英文混合的命名方式,唯品会考虑到某些业务词汇可能没有合适的英文翻译,允许了拼音的使用。但是,为了避免理解上的困难,禁止使用拼音缩写,并鼓励使用通俗易懂的英文名称。 **4.1.2 ...

    CheckStyle使用手册

    《CheckStyle使用手册》 CheckStyle是一款用于检查Java源代码风格的工具,它可以帮助开发者遵循特定的编码规范和约定,确保代码的一致性和可读性。这篇使用手册将深入介绍CheckStyle的功能、配置以及如何在实际开发...

    《Android应用安全设计及安全编码指导手册》【2017年2月1日英文版】代码

    使用静态代码分析工具辅助检测,如FindBugs、Checkstyle等。 12. **应用签名**:每个Android应用都需签名,以验证应用来源并保证完整性。妥善保管私钥,防止伪造签名。 13. **安全的调试设置**:在发布版本中禁用...

    Sonar-sonarlint使用说明.pdf

    它通过插件机制集成了不同的测试工具、代码分析工具以及持续集成工具,如pmd-cpd、checkstyle、findbugs、Jenkins等。这些插件可以对测试结果进行进一步加工处理,以量化的方式度量代码质量的变化。SonarQube还为...

Global site tag (gtag.js) - Google Analytics