{"id":32848,"date":"2019-10-31T21:49:16","date_gmt":"2019-10-31T18:49:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi\/"},"modified":"2019-10-31T21:49:16","modified_gmt":"2019-10-31T18:49:16","slug":"vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","title":{"rendered":"Integrieren Sie die statische Analyse in den Prozess und suchen Sie nicht mit ihrer Hilfe nach Bugs.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die gro\u00dfe Menge an Materialien \u00fcber statische Analyse, die mir st\u00e4ndig ins Auge fallen, hat mich dazu inspiriert, diesen Artikel zu schreiben. Erstens ist das PVS-studio Blog<\/a><\/noindex>, der sich aktiv auf Habrahabr mit Hilfe von Berichten \u00fcber Fehler, die mit ihrem Werkzeug in Open-Source-Projekten gefunden wurden, pr\u00e4sentiert. K\u00fcrzlich haben die PVS-studio Unterst\u00fctzung f\u00fcr Java<\/a><\/noindex>realisiert, und nat\u00fcrlich konnten die Entwickler von IntelliJ IDEA, deren integrierter Analyzer wahrscheinlich der fortschrittlichste f\u00fcr Java ist, nicht abseits stehen. Wenn man solche Berichte liest, hat man das Gef\u00fchl, es gehe um einen Zaubertrank: Dr\u00fccke einen Knopf, und voil\u00e0 \u2013 eine Liste von Defekten steht vor dir. Es scheint, dass mit der Verbesserung der Analyzer immer mehr Bugs automatisch gefunden werden, und die Produkte, die von diesen Robotern gescannt werden, werden immer besser, ganz ohne M\u00fche unsererseits.<\/a><\/noindex>. <\/p>\n

Aber Zaubertr\u00e4nke gibt es nicht. Ich m\u00f6chte \u00fcber das sprechen, was in Beitr\u00e4gen wie \u201ewas unser Roboter finden kann\u201c normalerweise nicht erw\u00e4hnt wird: was Analyzer nicht k\u00f6nnen, welche Rolle und welchen Platz sie im Software-Lieferprozess haben und wie man sie richtig implementiert.<\/p>\n

Eine der Herausforderungen (Quelle:<\/p>\n

\"Integrieren
\nWikipedia Was statische Analyzer niemals k\u00f6nnen werden<\/a><\/noindex>).<\/i>
\n<\/a><\/noindex><\/p>\n

Was ist aus praktischer Sicht die Analyse von Quellcode? Wir reichen einige Quellcodes ein, und nach kurzer Zeit (deutlich k\u00fcrzer als die Durchf\u00fchrung von Tests) erhalten wir einige Informationen \u00fcber unser System. Eine grundlegende und mathematisch un\u00fcberwindbare Einschr\u00e4nkung besteht darin, dass wir auf diese Weise nur eine relativ enge Klasse von Informationen erhalten k\u00f6nnen.<\/h2>\n

\nDas bekannteste Beispiel f\u00fcr ein Problem, das mit statischer Analyse nicht gel\u00f6st werden kann, ist die<\/p>\n

Haltbarkeit der Berechnung : Es handelt sich um einen Satz, der beweist, dass es unm\u00f6glich ist, einen allgemeinen Algorithmus zu entwickeln, der aufgrund des Quellcodes eines Programms feststellen kann, ob es in eine Endlosschleife ger\u00e4t oder innerhalb einer endlichen Zeit beendet wird. Eine Erweiterung dieses Satzes ist die<\/a><\/noindex>Rais-Satz Rais-Theorem<\/a><\/noindex>, die f\u00fcr jede nicht-triviale Eigenschaft berechenbarer Funktionen die Bestimmung, ob ein beliebiges Programm eine Funktion mit dieser Eigenschaft berechnet, eine algorithmisch unl\u00f6sbare Aufgabe ist. Zum Beispiel ist es unm\u00f6glich, einen Analysator zu schreiben, der f\u00fcr jeden Quellcode bestimmt, ob das analysierte Programm eine Implementierung eines Algorithmus ist, der beispielsweise die Quadratzahl einer ganzen Zahl berechnet.<\/p>\n

Daher hat die Funktionalit\u00e4t statischer Analysatoren un\u00fcberwindbare Einschr\u00e4nkungen. Ein statischer Analysator wird niemals in der Lage sein, in jedem Fall solche Dinge zu bestimmen, wie zum Beispiel das Auftreten einer \"Nullzeiger-Ausnahme\" in Programmiersprachen, die null-Werte zulassen, oder in jedem Fall das Auftreten von \"Attribut nicht gefunden\" in dynamisch typisierten Sprachen zu bestimmen. Alles, was der perfekteste statische Analysator tun kann, ist, Sonderf\u00e4lle zu identifizieren, deren Anzahl im Vergleich zu allen m\u00f6glichen Problemen mit Ihrem Quellcode ohne \u00dcbertreibung ein Tropfen auf den hei\u00dfen Stein ist.<\/p>\n

Statische Analyse ist kein Fehlerfinden<\/h2>\n

\nAus dem Vorangegangenen ergibt sich die Schlussfolgerung: Statische Analyse ist kein Mittel zur Verringerung der Anzahl der Defekte im Programm. Ich wage zu behaupten: Wenn sie zum ersten Mal auf Ihr Projekt angewendet wird, wird sie \"interessante\" Stellen im Code finden, aber wahrscheinlich keine Defekte, die die Qualit\u00e4t der Funktionalit\u00e4t Ihres Programms beeinflussen.<\/p>\n

Die Beispiele f\u00fcr Defekte, die automatisiert von Analysatoren gefunden wurden, sind beeindruckend, aber man sollte nicht vergessen, dass diese Beispiele durch das Scannen eines gro\u00dfen Sets gro\u00dfer Codebasen gefunden wurden. Nach dem gleichen Prinzip finden Hacker, die mehrere einfache Passw\u00f6rter auf vielen Konten ausprobieren, schlie\u00dflich die Konten, auf denen ein einfaches Passwort steht.<\/p>\n

Bedeutet das, dass statische Analyse nicht angewendet werden sollte? Nat\u00fcrlich nicht! Und genau aus dem gleichen Grund, aus dem man jedes neue Passwort auf die Aufnahme in die Liste der \"einfachen\" Passw\u00f6rter \u00fcberpr\u00fcfen sollte.<\/p>\n

Statische Analyse ist mehr als nur Fehlerfinden<\/h2>\n

\nIn der Tat sind die durch Analyse praktisch l\u00f6sbaren Aufgaben viel breiter. Denn im Allgemeinen ist die statische Analyse jede \u00dcberpr\u00fcfung des Quellcodes, die vor dessen Ausf\u00fchrung durchgef\u00fchrt wird. Hier sind einige Dinge, die man tun kann:<\/p>\n