{"id":32848,"date":"2019-10-31T21:49:16","date_gmt":"2019-10-31T18:49:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi\/"},"modified":"2019-10-31T21:49:16","modified_gmt":"2019-10-31T18:49:16","slug":"vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","title":{"rendered":"Integrieren Sie statische Analyse in den Prozess, anstatt sie zur Fehlersuche zu verwenden.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Der Ansto\u00df zum Verfassen dieses Artikels war die zunehmende Anzahl von Materialien \u00fcber statische Analysen, die mir immer h\u00e4ufiger begegneten. Erstens handelt es sich um den PVS-Studio Blog<\/a><\/noindex>, der sich aktiv auf Habr mit Berichten \u00fcber Fehler pr\u00e4sentiert, die mit ihrem Tool in Open-Source-Projekten gefunden wurden. K\u00fcrzlich hat PVS-Studio Java-Unterst\u00fctzung<\/a><\/noindex>implementiert und nat\u00fcrlich konnten die Entwickler von IntelliJ IDEA, deren integrierter Analysator heute vielleicht der fortschrittlichste f\u00fcr Java ist, nicht unt\u00e4tig bleiben.<\/a><\/noindex>. <\/p>\n

Beim Lesen solcher Berichte hat man das Gef\u00fchl, es ginge um einen magischen Zaubertrank: Dr\u00fccke einen Knopf und voil\u00e0 \u2013 eine Liste von Defekten erscheint vor deinen Augen. Es scheint, dass mit der Weiterentwicklung der Analysatoren immer mehr Fehler automatisch gefunden werden, und die Produkte, die von diesen Tools scannen, immer besser werden, ohne dass wir daf\u00fcr irgendwelche Anstrengungen aufbringen m\u00fcssen.<\/p>\n

Aber magische Zaubertr\u00e4nke gibt es nicht. Ich m\u00f6chte dar\u00fcber sprechen, was in Beitr\u00e4gen wie \u201eDas kann unser Roboter finden\u201c normalerweise nicht erw\u00e4hnt wird: Was Analysatoren nicht k\u00f6nnen, welche ihre tats\u00e4chliche Rolle und ihren Platz im Softwarebereitstellungsprozess ist und wie man sie richtig implementiert.<\/p>\n

\"Integrieren
\nKratzer (Quelle: Wikipedia<\/a><\/noindex>).<\/i>
\n<\/a><\/noindex><\/p>\n

Was statische Analysatoren nie leisten k\u00f6nnen<\/h2>\n

\nWas bedeutet es aus praktischer Sicht, Quellcode zu analysieren? Wir geben einige Quellcodes ein und erhalten in kurzer Zeit (deutlich k\u00fcrzer als bei Testl\u00e4ufen) bestimmte Informationen \u00fcber unser System. Eine grundlegende und mathematisch un\u00fcberwindbare Einschr\u00e4nkung besteht darin, dass wir auf diese Weise nur eine relativ enge Klasse von Informationen erhalten k\u00f6nnen.<\/p>\n

Das bekannteste Beispiel f\u00fcr ein Problem, das mit statischer Analyse nicht gel\u00f6st werden kann \u2014 das Halteproblem<\/a><\/noindex>: Dies ist ein Theorem, das beweist, dass es unm\u00f6glich ist, einen allgemeinen Algorithmus zu entwickeln, der anhand des Quellcodes eines Programms bestimmt, ob es sich in eine Endlosschleife begibt oder in endlicher Zeit endet. Eine Erweiterung dieses Theorems ist das Rice-Theorem<\/a><\/noindex>, die besagt, dass die Bestimmung, ob ein beliebiges Programm eine Funktion mit einem nichttrivialen Eigenschaften berechnet, algorithmisch unl\u00f6sbar ist. Zum Beispiel ist es unm\u00f6glich, einen Analyzer zu schreiben, der f\u00fcr jeden Quellcode bestimmt, ob das analysierte Programm eine Implementierung eines Algorithmus ist, der beispielsweise eine Ganzzahl quadriert.<\/p>\n

Daher hat die Funktionalit\u00e4t statischer Analyzer un\u00fcberwindbare Einschr\u00e4nkungen. Ein statischer Analyzer kann niemals in allen F\u00e4llen Dinge wie das Auftreten einer \u201eNull-Pointer-Exception\u201c in Sprachen, die null zulassen, oder das Auftreten von \u201eAttribut nicht gefunden\u201c in dynamisch typisierten Sprachen bestimmen. Alles, was der perfekteste statische Analyzer kann, ist, spezielle F\u00e4lle hervorzuheben, deren Anzahl im Vergleich zu allen m\u00f6glichen Problemen mit Ihrem Quellcode, gelinde gesagt, ein Tropfen auf den hei\u00dfen Stein ist.<\/p>\n

Statische Analyse ist nicht die Suche nach Bugs<\/h2>\n

\nAus dem Vorstehenden l\u00e4sst sich folgern: statische Analyse ist kein Mittel zur Verringerung der Anzahl von Fehlern im Programm. Ich wage zu behaupten: Wenn sie erstmals auf Ihr Projekt angewendet wird, wird sie in Ihrem Code \"interessante\" Stellen finden, aber wahrscheinlich keine Fehler, die die Qualit\u00e4t Ihrer Anwendung beeintr\u00e4chtigen.<\/p>\n

Die Beispiele f\u00fcr Fehler, die von Analysewerkzeugen automatisch gefunden wurden, sind beeindruckend, aber man sollte nicht vergessen, dass diese Beispiele durch das Scannen gro\u00dfer Mengen umfangreicher Codebasen gefunden wurden. Nach dem gleichen Prinzip finden Hacker, die in der Lage sind, mehrere einfache Passw\u00f6rter auf einer Vielzahl von Konten zu testen, letztendlich die Konten, die ein einfaches Passwort verwenden.<\/p>\n

Bedeutet das, dass statische Analyse nicht angewendet werden sollte? Nat\u00fcrlich nicht! Und genau aus dem gleichen Grund, aus dem jedes neue Passwort auf seine Zugeh\u00f6rigkeit zur Liste \"einfacher\" Passw\u00f6rter \u00fcberpr\u00fcft werden sollte.<\/p>\n

Statische Analyse ist mehr als nur Fehlersuche.<\/h2>\n

\nIn der Tat sind die durch Analysen l\u00f6sbaren Aufgaben viel umfassender. Grunds\u00e4tzlich ist eine statische Analyse jede \u00dcberpr\u00fcfung des Quellcodes, die vor seiner Ausf\u00fchrung stattfindet. Hier sind einige Dinge, die man tun kann:<\/p>\n