PVS-Studio nüüd Chocolatey’s: Chocolatey kontrollimine Azure DevOps'ist

Jätkame PVS-Studio kasutamise mugavuse suurendamist. Nüüd on meie analüsaator saadaval Chocolatey's, Windowsi pakihalduris. Usume, et see lihtsustab PVS-Studio juurutamist, eriti pilveteenustes. Et mitte liiga kaugele minna, kontrollime Chocolatey puhaskoodi. CI süsteemina kasutatakse Azure DevOps'i.

Siin on loetelu teistest meie artiklitest pilvesüsteemide integreerimise teemal:

• PVS-Studio läheb pilve: Azure DevOps
• PVS-Studio läheb pilve: Travis CI
• PVS-Studio läheb pilve: CircleCI
• PVS-Studio läheb pilve: GitLab CI/CD

Soovitan tutvuda esimesega artikliga Azure DevOps'i integreerimise kohta, kuna mõned punktid on siin välja jäetud, et mitte korduda.

Nii et selle artikli kangelased on:

PVS-Studio — staatiline koodi analüüsi tööriist, mis on mõeldud C, C++, C# ja Java keeles kirjutatud programmide vigade ja võimalike haavatavuste tuvastamiseks. Toimib 64-bitistes süsteemides Windowsis, Linuxis ja macOS-is ning suudab analüüsida koodi, mis on mõeldud 32-bitistele, 64-bitistele ja sisseehitatud ARM-plaatidele. Kui proovite kodu staatiset analüüsi esmakordselt oma projektide kontrollimiseks, soovitame tutvuda artiklit kuidas kiiresti vaadata kõige huvitavamaid PVS-Studio hoiatuseid ja hinnata selle tööriista võimalusi.

Azure DevOps — kogum pilveteenuseid, mis katab kogu arendusprotsessi. Selle platvormi koosseisu kuuluvad sellised tööriistad nagu Azure Pipelines, Azure Boards, Azure Artifacts, Azure Repos, Azure Test Plans, mis aitavad kiirendada tarkvara loomise protsessi ja tõsta selle kvaliteeti.

Chocolatey – avatud lähtekoodiga paketihaldur Windowsile. Projekti eesmärk on automatiseerida kogu tarkvara elutsükkel alates installimisest kuni värskendamise ja eemaldamiseni Windowsi operatsioonisüsteemides.

Chocolatey kasutamisest

Vaata, kuidas installida paketihaldurit ise, leiate selle lingi kaudu. Täielik installatsiooni dokumentatsioon analüsaatori jaoks on saadaval lingi kaudu jaotises „Installeerimine Chocolatey paketihalduri abil“. Kordan lühidalt mõned seal olevad punktid.

Viimane versioon analüsaatori installimiseks kasutada käsku:

choco install pvs-studio

Käsku konkreetse versiooni PVS-Studio paketi installimiseks:

choco install pvs-studio --version=7.05.35617.2075

Vaikimisi installitakse ainult analüsaatori tuum — komponent Core. Kõiki teisi lippe (Standalone, JavaCore, IDEA, MSVS2010, MSVS2012, MSVS2013, MSVS2015, MSVS2017, MSVS2019) saab edastada —package-parameters abil.

Käsku, mis installib analüsaatori Visual Studio 2019 pistikprogrammiga:

choco install pvs-studio --package-parameters="'/MSVS2019'"

Nüüd vaatame analüsaatori mugavat kasutamist Azure DevOps'i all.

Seadistamine

Mäletan, et selliste punktide, nagu konto registreerimine, Build Pipeline'i loomine ja konto sünkroonimine GitHub'is oleva projektiga, puhul on eraldi artikkel. Meie seadistus algab kohe konfiguratsioonifaili kirjutamisest.

Alustame käivitustriggeri seadistamisega, märkides, et käivitame ainult muudatuste korral master haru:

trigger:
- master

Järgmiseks peame valima virtuaalmasina. Praegu on see Microsofti hostitud agent koos Windows Server 2019 ja Visual Studio 2019.

pool:
  vmImage: 'windows-latest'

Liigume edasi konfiguratsioonifaili (plokk steps). Kuigi virtuaalmasinasse ei saa paigaldada juhuslikku tarkvara, ei lisanud ma Docker konteinerit. Saame lisada Chocolatey laiendina Azure DevOpsi. Selleks liigume järgmist mööda lingi kaudu. Vajutame Saa tasuta. Edasi, kui olete juba sisse logitud, valige lihtsalt oma konto, kui ei, siis tehke kõik see uuesti pärast sisselogimist.

Siin tuleb valida, kuhu me laienduse lisame, ja vajutada nuppu Installeerida.

Pärast edukat installimist vajutame Proceed to organization:

Nüüd on võimalik näha Chocolatey ülesande mallimist aknas tasks konfiguratsioonifaili redigeerimise ajal azure-pipelines.yml:

Vajutame Chocolatey peale ja näeme väljade nimekirja:

Siin peame valima install käskude väljal. Väljas Nuspec File Name märgime vajaliku paketi nime – pvs-studio. Kui versiooni ei näidata, installitakse viimane, mis meile täielikult sobib. Vajutame nuppu add ja näeme konfiguratsioonifailis moodustunud ülesannet.

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

Liigume edasi meie faili põhiosa juurde:

- task: CmdLine@2
  inputs:
    script: 

Nüüd peame looma analüsaatori litsentsifaili. Siin PVSNAME ja PVSKEY – muutujate nimed, mille väärtused määrame seadistustes. Need salvestavad PVS-Studio kasutajanime ja litsentsivõtme. Nende väärtuste seadmiseks avame menüü Variables->New variable. Loome muutujad PVSNAME kasutajanime ja PVSKEY analüüsi võtme jaoks. Ärge unustage märkida Keep this value secret kuna PVSKEY. Käskluse kood:

call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" credentials 
–u $(PVSNAME) –n $(PVSKEY)

Kogume projekti kokku bat-faili abil, mis asub hoidlas:

call build.bat

Loome kausta, kuhu paigutatakse analüsaatori töö tulemused:

call mkdir PVSTestResults

Käivitame projekti analüüsi:

call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
–t .srcchocolatey.sln –o .PVSTestResultsChoco.plog 

Konverteerime meie raporti html formaati PlogConverteri utiliidi abil:

call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
–t html –o PVSTestResults .PVSTestResultsChoco.plog

Nüüd tuleb luua ülesanne, et raport saaks eksportida.

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

Täielik konfiguratsioonifail näeb välja selline:

käivitus:
- master

hulk:
  vmImage: 'windows-latest'

sammud:
- ülesanne: ChocolateyCommand@0
  sisendid:
    käsk: 'install'
    installPackageId: 'pvs-studio'

- ülesanne: CmdLine@2
  sisendid:
    skript: |
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      credentials –u $(PVSNAME) –n $(PVSKEY)
      call build.bat
      call mkdir PVSTestResults
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      –t .srcchocolatey.sln –o .PVSTestResultsChoco.plog
      call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
      –t html –o .PVSTestResults .PVSTestResultsChoco.plog

- ülesanne: PublishBuildArtifacts@1
  sisendid:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

Klõpsame Salvesta->Salvesta->Käivita ülesande käivitamiseks. Laadime aruande alla, minnes ülesande vahele.

Chocolatey projekt sisaldab kokku 37615 rida C# koodi. Vaadake mõningaid leitud vigu.

Kontrollimise tulemused

Hoiatus N1

Analüsaatori hoiatus: V3005 Muutuja 'Provider' on määratud iseendale. CrytpoHashProviderSpecs.cs 38

public abstract class CrytpoHashProviderSpecsBase : TinySpec
{
  ....
  protected CryptoHashProvider Provider;
  ....
  public override void Context()
  {
    Provider = Provider = new CryptoHashProvider(FileSystem.Object);
  }
}

Analüsaator leidis, et muutuja on määratud iseendale, mis ei ole mõttekas. Tõenäoliselt peaks ühe neist muutujatest olema mõni teine. Või on see trükkimisviga, ja üleliigse määramise saab lihtsalt kustutada.

Hoiatus N2

Analüsaatori hoiatus: V3093 [CWE-480] '&&' operaator hindab mõlemat operand. Võib-olla tuleks kasutada hoopis lühikest '&&' operaatorit. Platform.cs 64

public static PlatformType get_platform()
{
  switch (Environment.OSVersion.Platform)
  {
    case PlatformID.MacOSX:
    {
      ....
    }
    case PlatformID.Unix:
    if(file_system.directory_exists("/Applications")
      & file_system.directory_exists("/System")
      & file_system.directory_exists("/Users")
      & file_system.directory_exists("/Volumes"))
      {
        return PlatformType.Mac;
      }
        else
          return PlatformType.Linux;
    default:
      return PlatformType.Windows;
  }
}

Operaatori erinevus & operaatorist && on see, et kui vasak pool väljendist on false, siis hinnatakse ikkagi paremat poolt, mis tähendab antud juhul liigseid meetodi kutsumise system.directory_exists.

Käesolevas fragmentis on see pisike puudus. Jah, seda tingimust on võimalik optimeerida, asendades operaatori & amp; operaatoriga &&, kuid praktiliselt ei mõjuta see midagi. Siiski, teistes olukordades võib segadus & amp; ja && vahel tekitada tõsiseid probleeme, kui parempoolne väljend töötab vale/keelatud väärtustega. Näiteks meie vigade kogus, mille avastas diagnostika V3093, on selline juhtum:

if ((k < nct) & (s[k] != 0.0))

Isegi kui indeks k on korrektne, seda kasutatakse massiivi elemendile juurdepääsuks. Selle tulemusena genereeritakse erand IndexOutOfRangeException.

Hoiatused N3, N4

Analüsaatori hoiatus: V3022 [CWE-571] Väljend ‘shortPrompt’ on alati tõene. InteractivePrompt.cs 101
Analüsaatori hoiatus: V3022 [CWE-571] Väljend ‘shortPrompt’ on alati tõene. InteractivePrompt.cs 105

public static string 
prompt_for_confirmation(.... bool shortPrompt = false, ....)
{
  ....
  if (shortPrompt)
  {
    var choicePrompt = choice.is_equal_to(defaultChoice) //1
    ?
    shortPrompt //2
    ?
    "[[{0}]{1}]".format_with(choice.Substring(0, 1).ToUpperInvariant(), //3
    choice.Substring(1,choice.Length - 1))
    :
    "[{0}]".format_with(choice.ToUpperInvariant()) //0
    : 
    shortPrompt //4
    ? 
    "[{0}]{1}".format_with(choice.Substring(0,1).ToUpperInvariant(), //5
    choice.Substring(1,choice.Length - 1)) 
    :
    choice; //0
    ....
  }
  ....
}

Antud juhul on olemas kummaline loogika ternaaroperaatori töö. Vaatame lähemalt: kui tingimus, mille ma tähistasin numbriga 1, täitub, siis liigume tingimusele 2, mis on alati true, seega täitub rida 3. Kui aga tingimus 1 osutub vale, liigume reale, mille ma märkisin numbriga 4, mille tingimus on samuti alati true, seega täitub rida 5. Seega tingimused, mis on märgitud kommentaariga 0, ei täitu kunagi, mis ei pruugi olla just see loogika, millele programmeerija lootis.

Hoiatus N5

Analüsaatori hoiatus: V3123 [CWE-783] Võib-olla töötas ‘?:’ operaator ootamatult. Selle prioriteet on madalam kui teiste operaatorite prioriteet selle tingimuse osas. Options.cs 1019

private static string GetArgumentName (...., string description)
{
  string[] nameStart;
  if (maxIndex == 1)
  {
    nameStart = new string[]{"{0:", "{"};
  }
  else
  {
    nameStart = new string[]{"{" + index + ":"};
  }
  for (int i = 0; i = 0 && j != 0 ? description [j++ - 1] == '{' : false);
    ....
    return maxIndex == 1 ? "VALUE" : "VALUE" + (index + 1);
  }
}

Diagnostika toimis read:

while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false)

Kuna muutuja j initsialiseeritakse paar rida üle nulliga, tagastab ternaarne operaator väärtuse false. Selle tingimuse tõttu täidetakse tsükli keha ainult üks kord. Tundub, et see koodijupp ei tööta nii, nagu arendaja mõtles.

Hoiatamine N6

Analüsaatori hoiatus: V3022 [CWE-571] Avaldis ‘installedPackageVersions.Count != 1’ on alati tõene. NugetService.cs 1405

private void remove_nuget_cache_for_package(....)
{
  if (!config.AllVersions && installedPackageVersions.Count > 1)
  {
    const string allVersionsChoice = "All versions";
    if (installedPackageVersions.Count != 1)
    {
      choices.Add(allVersionsChoice);
    }
    ....
  }
  ....
}

Siin on kummaline sisemine tingimus: installedPackageVersions.Count != 1, mis saab alati olema true. Selline hoiatus viitab sageli koodis loogilisele veale ja teistes olukordades lihtsalt üleliigsele kontrollimisele.

Hoiatus N7

Analüsaatori hoiatus: V3001 Vasakul ja paremal ‘||’ operaatori pool on identsed alamväljendid ‘commandArguments.contains("-apikey")’. ArgumentsUtility.cs 42

public static bool arguments_contain_sensitive_information(string
 commandArguments)
{
  return commandArguments.contains("-install-arguments-sensitive")
  || commandArguments.contains("-package-parameters-sensitive")
  || commandArguments.contains("apikey ")
  || commandArguments.contains("config ")
  || commandArguments.contains("push ")
  || commandArguments.contains("-p ")
  || commandArguments.contains("-p=")
  || commandArguments.contains("-password")
  || commandArguments.contains("-cp ")
  || commandArguments.contains("-cp=")
  || commandArguments.contains("-certpassword")
  || commandArguments.contains("-k ")
  || commandArguments.contains("-k=")
  || commandArguments.contains("-key ")
  || commandArguments.contains("-key=")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key");
}

Koda kirjutanud programmeerija kopeeris kaks viimast rida ja unustas need redigeerida. Seetõttu kaotasid Chocolatey kasutajad võimaluse kasutada parameetrit apikey veel paari viisi. Sarnaselt ülaltoodud parameetritele, võin soovitada järgmisi variante:

commandArguments.contains("-apikey=");
commandArguments.contains("-api-key=");

Kopeerige ja kleepige vigu võivad igasugustes projektides, millel on suur hulk lähtekoodi, varem või hiljem ilmneda ja üks parimaid viise nende vastu võitlemiseks on staatiline analüüs.

P.S. Ja nagu alati, kipub see viga ilmuma paljude ridade tingimuste lõpus :). Vaadake postitust "Viimase rea efekt".

Hoiatus N8

Analüsaatori hoiatus: V3095 [CWE-476] 'installedPackage' objekti kasutati enne, kui see oli nulliga võrreldud. Kontrollige ridu: 910, 917. NugetService.cs 910

public virtual ConcurrentDictionary get_outdated(....)
{
  ....
  var pinnedPackageResult = outdatedPackages.GetOrAdd(
    packageName,
    new PackageResult(installedPackage,
                      _fileSystem.combine_paths(
                        ApplicationParameters.PackagesLocation,
                        installedPackage.Id)));
  ....
  if (   installedPackage != null
      && !string.IsNullOrWhiteSpace(installedPackage.Version.SpecialVersion)
      && !config.UpgradeCommand.ExcludePrerelease)
  {
    ....
  }
  ....
}

Klassikaline viga: kõigepealt objekti installedPackage kasutatakse ja seejärel kontrollitakse null. See diagnostika räägib meile kahest võimalikust probleemist programmis: kas installedPackage ei ole kunagi võrdne null, mis on kahtlane, ja siis on kontroll ülearune, või me võime potentsiaalselt saada tõsise vea koodis – katse nullviidale juurdepääseda.

Kokkuvõte

Nii oleme teinud veel ühe väikese sammu – nüüd on PVS-Studio kasutamine muutunud veelgi lihtsamaks ja mugavamaks. Samuti tahan mainida, et Chocolatey on hea pakihaldur, millel on ainult väheseid koodivigu, mida PVS-Studio kasutamine võiks veelgi vähendada.

Kutsume teid lae alla katsetama PVS-Studio't. Statilise analüsaatori regulaarselt kasutamine parandab teie meeskonna arendatava koodi kvaliteeti ja usaldusväärsust ning aitab ennetada paljusid nullpäeva haavatavusi.

P.S.

Enne avaldamist saatsime artikli Chocolatey arendajatele ja nad võtsid selle hästi vastu. Meie poolt ei leitud midagi kriitilist, kuid näiteks neile meeldis meie leitud viga, mis oli seotud „api-key“ võtmega.

Kui soovite seda artiklit ingliskeelse publikuga jagada, kasutage palun tõlke linki: Vladislav Stolyarov. PVS-Studio on nüüd Chocolatey: Chocolatey kontrollimine Azure DevOps'is.

Allikas: habr.com