पीवीएस-स्टूडियो अब चॉकलेटी में है: Azure DevOps के तहत चॉकलेटी की जाँच कर रहा है

हम पीवीएस-स्टूडियो के उपयोग को और अधिक सुविधाजनक बनाना जारी रखेंगे। हमारा विश्लेषक अब चॉकलेटी में उपलब्ध है, जो विंडोज़ के लिए एक पैकेज मैनेजर है। हमारा मानना ​​है कि इससे विशेष रूप से क्लाउड सेवाओं में पीवीएस-स्टूडियो की तैनाती में सुविधा होगी। अधिक दूर न जाने के लिए, आइए उसी चॉकलेटी के स्रोत कोड की जाँच करें। Azure DevOps एक CI प्रणाली के रूप में कार्य करेगा।

क्लाउड सिस्टम के साथ एकीकरण के विषय पर हमारे अन्य लेखों की सूची यहां दी गई है:

• पीवीएस-स्टूडियो बादलों पर जाता है: Azure DevOps
• पीवीएस-स्टूडियो बादलों पर जाता है: ट्रैविस सीआई
• पीवीएस-स्टूडियो बादलों पर जाता है: सर्कलसीआई
• पीवीएस-स्टूडियो बादलों पर जाता है: गिटलैब सीआई/सीडी

मैं आपको Azure DevOps के साथ एकीकरण के बारे में पहले लेख पर ध्यान देने की सलाह देता हूं, क्योंकि इस मामले में कुछ बिंदुओं को छोड़ दिया गया है ताकि नकल न हो।

तो, इस लेख के नायक:

पीवीएस-स्टूडियो एक स्थिर कोड विश्लेषण उपकरण है जिसे C, C++, C# और Java में लिखे गए प्रोग्रामों में त्रुटियों और संभावित कमजोरियों की पहचान करने के लिए डिज़ाइन किया गया है। 64-बिट विंडोज, लिनक्स और मैकओएस सिस्टम पर चलता है, और 32-बिट, 64-बिट और एम्बेडेड एआरएम प्लेटफॉर्म के लिए डिज़ाइन किए गए कोड का विश्लेषण कर सकता है। यदि आप पहली बार अपनी परियोजनाओं की जांच के लिए स्थैतिक कोड विश्लेषण का प्रयास कर रहे हैं, तो हम अनुशंसा करते हैं कि आप इससे परिचित हो जाएं एक लेख सबसे दिलचस्प पीवीएस-स्टूडियो चेतावनियों को तुरंत देखने और इस टूल की क्षमताओं का मूल्यांकन करने के तरीके के बारे में।

Azure DevOps - क्लाउड सेवाओं का एक सेट जो संयुक्त रूप से संपूर्ण विकास प्रक्रिया को कवर करता है। इस प्लेटफ़ॉर्म में Azure पाइपलाइन, Azure बोर्ड, Azure Artifacts, Azure Repos, Azure टेस्ट प्लान जैसे टूल शामिल हैं, जो आपको सॉफ़्टवेयर बनाने की प्रक्रिया को तेज़ करने और इसकी गुणवत्ता में सुधार करने की अनुमति देते हैं।

chocolatey विंडोज़ के लिए एक ओपन सोर्स पैकेज मैनेजर है। प्रोजेक्ट का लक्ष्य विंडोज़ ऑपरेटिंग सिस्टम पर इंस्टॉलेशन से लेकर अपडेट और अनइंस्टॉलेशन तक पूरे सॉफ़्टवेयर जीवनचक्र को स्वचालित करना है।

चॉकलेटी के उपयोग के बारे में

आप यहां देख सकते हैं कि पैकेज मैनेजर को कैसे स्थापित किया जाए लिंक. विश्लेषक स्थापित करने के लिए संपूर्ण दस्तावेज़ यहां उपलब्ध है लिंक चॉकलेटी पैकेज मैनेजर अनुभाग का उपयोग करके इंस्टॉलेशन देखें। मैं वहां से कुछ बिंदु संक्षेप में दोहराऊंगा।

विश्लेषक का नवीनतम संस्करण स्थापित करने का आदेश:

choco install pvs-studio

पीवीएस-स्टूडियो पैकेज का एक विशिष्ट संस्करण स्थापित करने का आदेश:

choco install pvs-studio --version=7.05.35617.2075

डिफ़ॉल्ट रूप से, केवल विश्लेषक का कोर, कोर घटक स्थापित होता है। अन्य सभी फ़्लैग (स्टैंडअलोन, JavaCore, IDEA, MSVS2010, MSVS2012, MSVS2013, MSVS2015, MSVS2017, MSVS2019) को --package-parameters का उपयोग करके पारित किया जा सकता है।

कमांड का एक उदाहरण जो विज़ुअल स्टूडियो 2019 के लिए प्लगइन के साथ एक विश्लेषक स्थापित करेगा:

choco install pvs-studio --package-parameters="'/MSVS2019'"

आइए अब Azure DevOps के अंतर्गत विश्लेषक के सुविधाजनक उपयोग का एक उदाहरण देखें।

समायोजन

मैं आपको याद दिला दूं कि खाता पंजीकृत करने, बिल्ड पाइपलाइन बनाने और GitHub रिपॉजिटरी में स्थित प्रोजेक्ट के साथ अपने खाते को सिंक्रनाइज़ करने जैसे मुद्दों के बारे में एक अलग अनुभाग है। लेख. हमारा सेटअप तुरंत कॉन्फ़िगरेशन फ़ाइल लिखने के साथ शुरू हो जाएगा।

सबसे पहले, आइए एक लॉन्च ट्रिगर सेट करें, जो दर्शाता है कि हम केवल बदलावों के लिए लॉन्च करते हैं मास्टर शाखा:

trigger:
- master

आगे हमें एक वर्चुअल मशीन का चयन करना होगा। अभी के लिए यह विंडोज सर्वर 2019 और विजुअल स्टूडियो 2019 के साथ माइक्रोसॉफ्ट द्वारा होस्ट किया गया एजेंट होगा:

pool:
  vmImage: 'windows-latest'

आइए कॉन्फ़िगरेशन फ़ाइल (ब्लॉक) के मुख्य भाग पर चलते हैं कदम). इस तथ्य के बावजूद कि आप वर्चुअल मशीन में मनमाना सॉफ़्टवेयर इंस्टॉल नहीं कर सकते, मैंने डॉकर कंटेनर नहीं जोड़ा। हम Azure DevOps के एक्सटेंशन के रूप में चॉकलेटी जोड़ सकते हैं। ऐसा करने के लिए, आइए चलते हैं लिंक. क्लिक यह नि: शुल्क प्राप्त करें. इसके बाद, यदि आप पहले से ही अधिकृत हैं, तो बस अपना खाता चुनें, और यदि नहीं, तो प्राधिकरण के बाद भी यही काम करें।

यहां आपको यह चुनना होगा कि हम एक्सटेंशन कहां जोड़ेंगे और बटन पर क्लिक करें स्थापित करें.

सफल इंस्टालेशन के बाद क्लिक करें संगठन के लिए आगे बढ़ें:

अब आप विंडो में चॉकलेटी कार्य का टेम्पलेट देख सकते हैं कार्य कॉन्फ़िगरेशन फ़ाइल को संपादित करते समय नीला-पाइपलाइन.yml:

चॉकलेटी पर क्लिक करें और फ़ील्ड की सूची देखें:

यहां हमें सेलेक्ट करना होगा स्थापित टीमों के साथ मैदान में. में नुस्पेक फ़ाइल नाम आवश्यक पैकेज का नाम बताएं - पीवीएस-स्टूडियो। यदि आप संस्करण निर्दिष्ट नहीं करते हैं, तो नवीनतम स्थापित किया जाएगा, जो हमारे लिए पूरी तरह उपयुक्त है। चलिए बटन दबाते हैं जोड़ना और हम कॉन्फ़िगरेशन फ़ाइल में जेनरेट किया गया कार्य देखेंगे।

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

इसके बाद, आइए अपनी फ़ाइल के मुख्य भाग पर चलते हैं:

- task: CmdLine@2
  inputs:
    script: 

अब हमें एनालाइजर लाइसेंस के साथ एक फाइल बनाने की जरूरत है। यहाँ पीवीएसनाम и पी.वी.एस.के.आई - वेरिएबल्स के नाम जिनके मान हम सेटिंग्स में निर्दिष्ट करते हैं। वे पीवीएस-स्टूडियो लॉगिन और लाइसेंस कुंजी संग्रहीत करेंगे। उनके मान सेट करने के लिए, मेनू खोलें वेरिएबल->नया वेरिएबल. आइए वेरिएबल बनाएं पीवीएसनाम लॉगिन के लिए और पी.वी.एस.के.आई विश्लेषक कुंजी के लिए. बॉक्स को चेक करना न भूलें इस मान को गुप्त रखें के लिए पी.वी.एस.के.आई. कमांड कोड:

сall "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" credentials 
–u $(PVSNAME) –n $(PVSKEY)

आइए रिपॉजिटरी में स्थित बैट फ़ाइल का उपयोग करके प्रोजेक्ट बनाएं:

сall build.bat

आइए एक फ़ोल्डर बनाएं जहां विश्लेषक के परिणामों वाली फ़ाइलें संग्रहीत की जाएंगी:

сall mkdir PVSTestResults

आइए परियोजना का विश्लेषण शुरू करें:

сall "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
–t .srcchocolatey.sln –o .PVSTestResultsChoco.plog 

हम PlogСconverter उपयोगिता का उपयोग करके अपनी रिपोर्ट को html प्रारूप में परिवर्तित करते हैं:

сall "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
–t html –o PVSTestResults .PVSTestResultsChoco.plog

अब आपको एक कार्य बनाना होगा ताकि आप रिपोर्ट अपलोड कर सकें।

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

संपूर्ण कॉन्फ़िगरेशन फ़ाइल इस प्रकार दिखती है:

trigger:
- master

pool:
  vmImage: 'windows-latest'

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

- task: CmdLine@2
  inputs:
    script: |
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      credentials –u $(PVSNAME) –n $(PVSKEY)
      call build.bat
      call mkdir PVSTestResults
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      –t .srcchocolatey.sln –o .PVSTestResultsChoco.plog
      call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
      –t html –o .PVSTestResults .PVSTestResultsChoco.plog

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

आइए क्लिक करें सहेजें->सहेजें->चलाएँ कार्य को चलाने के लिए. आइए टास्क टैब पर जाकर रिपोर्ट डाउनलोड करें।

चॉकलेटी प्रोजेक्ट में C# कोड की केवल 37615 पंक्तियाँ हैं। आइए पाई गई कुछ त्रुटियों पर नजर डालें।

परीक्षा के परिणाम

चेतावनी N1

विश्लेषक चेतावनी: V3005 'प्रदाता' वैरिएबल स्वयं को सौंपा गया है। CrytpoHashProviderSpecs.cs 38

public abstract class CrytpoHashProviderSpecsBase : TinySpec
{
  ....
  protected CryptoHashProvider Provider;
  ....
  public override void Context()
  {
    Provider = Provider = new CryptoHashProvider(FileSystem.Object);
  }
}

विश्लेषक ने स्वयं के लिए चर के एक असाइनमेंट का पता लगाया, जिसका कोई मतलब नहीं है। सबसे अधिक संभावना है, इनमें से किसी एक चर के स्थान पर कोई अन्य चर होना चाहिए। खैर, या यह एक टाइपो है, और अतिरिक्त असाइनमेंट को आसानी से हटाया जा सकता है।

चेतावनी N2

विश्लेषक चेतावनी: V3093 [सीडब्ल्यूई-480] '&' ऑपरेटर दोनों ऑपरेंड का मूल्यांकन करता है। संभवतः इसके स्थान पर शॉर्ट-सर्किट '&&' ऑपरेटर का उपयोग किया जाना चाहिए। प्लेटफ़ॉर्म.सीएस 64

public static PlatformType get_platform()
{
  switch (Environment.OSVersion.Platform)
  {
    case PlatformID.MacOSX:
    {
      ....
    }
    case PlatformID.Unix:
    if(file_system.directory_exists("/Applications")
      & file_system.directory_exists("/System")
      & file_system.directory_exists("/Users")
      & file_system.directory_exists("/Volumes"))
      {
        return PlatformType.Mac;
      }
        else
          return PlatformType.Linux;
    default:
      return PlatformType.Windows;
  }
}

ऑपरेटर अंतर & ऑपरेटर से && क्या वह यह है कि यदि अभिव्यक्ति का बायां भाग है असत्य, फिर भी दाईं ओर की गणना की जाएगी, जो इस मामले में अनावश्यक विधि कॉल का तात्पर्य है system.directory_मौजूद है.

विचाराधीन अंश में, यह एक छोटी सी खामी है। हाँ, इस स्थिति को & ऑपरेटर को && ऑपरेटर से प्रतिस्थापित करके अनुकूलित किया जा सकता है, लेकिन व्यावहारिक दृष्टिकोण से, यह किसी भी चीज़ को प्रभावित नहीं करता है। हालाँकि, अन्य मामलों में, & और && के बीच भ्रम गंभीर समस्याएँ पैदा कर सकता है जब अभिव्यक्ति के दाहिने हिस्से को गलत/अमान्य मानों के साथ व्यवहार किया जाता है। उदाहरण के लिए, हमारे त्रुटि संग्रह में, V3093 डायग्नोस्टिक का उपयोग करके पहचाना गया, यह मामला है:

if ((k < nct) & (s[k] != 0.0))

भले ही सूचकांक k ग़लत है, इसका उपयोग किसी सरणी तत्व तक पहुँचने के लिए किया जाएगा। परिणामस्वरूप, एक अपवाद फेंक दिया जाएगा IndexOutOfRangeException.

चेतावनियाँ N3, N4

विश्लेषक चेतावनी: V3022 [सीडब्ल्यूई-571] अभिव्यक्ति 'शॉर्टप्रॉम्प्ट' हमेशा सत्य होती है। इंटरएक्टिवप्रॉम्प्ट.सीएस 101
विश्लेषक चेतावनी: V3022 [सीडब्ल्यूई-571] अभिव्यक्ति 'शॉर्टप्रॉम्प्ट' हमेशा सत्य होती है। इंटरएक्टिवप्रॉम्प्ट.सीएस 105

public static string 
prompt_for_confirmation(.... bool shortPrompt = false, ....)
{
  ....
  if (shortPrompt)
  {
    var choicePrompt = choice.is_equal_to(defaultChoice) //1
    ?
    shortPrompt //2
    ?
    "[[{0}]{1}]".format_with(choice.Substring(0, 1).ToUpperInvariant(), //3
    choice.Substring(1,choice.Length - 1))
    :
    "[{0}]".format_with(choice.ToUpperInvariant()) //0
    : 
    shortPrompt //4
    ? 
    "[{0}]{1}".format_with(choice.Substring(0,1).ToUpperInvariant(), //5
    choice.Substring(1,choice.Length - 1)) 
    :
    choice; //0
    ....
  }
  ....
}

इस मामले में, टर्नरी ऑपरेटर के संचालन के पीछे एक अजीब तर्क है। आइए करीब से देखें: यदि वह शर्त पूरी हो जाती है जिसे मैंने संख्या 1 से चिह्नित किया है, तो हम शर्त 2 पर आगे बढ़ेंगे, जो हमेशा होती है <strong>उद्देश्य</strong>, जिसका अर्थ है कि पंक्ति 3 निष्पादित की जाएगी। यदि शर्त 1 गलत निकलती है, तो हम संख्या 4 से चिह्नित रेखा पर जाएंगे, जिसमें शर्त भी हमेशा होती है <strong>उद्देश्य</strong>, जिसका अर्थ है कि पंक्ति 5 निष्पादित की जाएगी। इस प्रकार, टिप्पणी 0 के साथ चिह्नित शर्तें कभी पूरी नहीं होंगी, जो कि प्रोग्रामर द्वारा अपेक्षित ऑपरेशन का बिल्कुल तर्क नहीं हो सकता है।

चेतावनी N5

विश्लेषक चेतावनी: V3123 [सीडब्ल्यूई-783] शायद '?:' ऑपरेटर अपेक्षा से भिन्न तरीके से काम करता है। इसकी प्राथमिकता इसकी स्थिति में अन्य ऑपरेटरों की प्राथमिकता से कम है। विकल्प.सीएस 1019

private static string GetArgumentName (...., string description)
{
  string[] nameStart;
  if (maxIndex == 1)
  {
    nameStart = new string[]{"{0:", "{"};
  }
  else
  {
    nameStart = new string[]{"{" + index + ":"};
  }
  for (int i = 0; i < nameStart.Length; ++i) 
  {
    int start, j = 0;
    do 
    {
      start = description.IndexOf (nameStart [i], j);
    } 
    while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false);
    ....
    return maxIndex == 1 ? "VALUE" : "VALUE" + (index + 1);
  }
}

डायग्नोस्टिक ने लाइन के लिए काम किया:

while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false)

चर के बाद से j उपरोक्त कुछ पंक्तियों को शून्य से प्रारंभ किया गया है, टर्नरी ऑपरेटर मान वापस कर देगा असत्य. इस स्थिति के कारण, लूप का मुख्य भाग केवल एक बार निष्पादित किया जाएगा। मुझे ऐसा लगता है कि कोड का यह टुकड़ा प्रोग्रामर के इरादे के अनुसार बिल्कुल भी काम नहीं करता है।

चेतावनी N6

विश्लेषक चेतावनी: V3022 [सीडब्ल्यूई-571] अभिव्यक्ति 'installedPackageVersions.Count != 1' हमेशा सत्य है। NugetService.cs 1405

private void remove_nuget_cache_for_package(....)
{
  if (!config.AllVersions && installedPackageVersions.Count > 1)
  {
    const string allVersionsChoice = "All versions";
    if (installedPackageVersions.Count != 1)
    {
      choices.Add(allVersionsChoice);
    }
    ....
  }
  ....
}

यहाँ एक अजीब नेस्टेड स्थिति है: installPackageVersions.गिनती != 1जो हमेशा रहेगा <strong>उद्देश्य</strong>. अक्सर ऐसी चेतावनी कोड में तार्किक त्रुटि का संकेत देती है, और अन्य मामलों में यह केवल अनावश्यक जाँच का संकेत देती है।

चेतावनी N7

विश्लेषक चेतावनी: V3001 '||' के बाईं और दाईं ओर समान उप-अभिव्यक्तियाँ 'commandArguments.contains("-apikey")' हैं। ऑपरेटर। ArgumentsUtility.cs 42

public static bool arguments_contain_sensitive_information(string
 commandArguments)
{
  return commandArguments.contains("-install-arguments-sensitive")
  || commandArguments.contains("-package-parameters-sensitive")
  || commandArguments.contains("apikey ")
  || commandArguments.contains("config ")
  || commandArguments.contains("push ")
  || commandArguments.contains("-p ")
  || commandArguments.contains("-p=")
  || commandArguments.contains("-password")
  || commandArguments.contains("-cp ")
  || commandArguments.contains("-cp=")
  || commandArguments.contains("-certpassword")
  || commandArguments.contains("-k ")
  || commandArguments.contains("-k=")
  || commandArguments.contains("-key ")
  || commandArguments.contains("-key=")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key");
}

कोड के इस अनुभाग को लिखने वाले प्रोग्रामर ने अंतिम दो पंक्तियों को कॉपी और पेस्ट किया और उन्हें संपादित करना भूल गया। इस वजह से, चॉकलेटी उपयोगकर्ता पैरामीटर लागू करने में असमर्थ थे एपीआई कुंजी कुछ और तरीके. उपरोक्त मापदंडों के समान, मैं निम्नलिखित विकल्प पेश कर सकता हूं:

commandArguments.contains("-apikey=");
commandArguments.contains("-api-key=");

बड़ी मात्रा में स्रोत कोड वाले किसी भी प्रोजेक्ट में कॉपी-पेस्ट त्रुटियों के जल्दी या बाद में दिखाई देने की उच्च संभावना होती है, और उनसे निपटने के लिए सबसे अच्छे उपकरणों में से एक स्थैतिक विश्लेषण है।

पुनश्च और हमेशा की तरह, यह त्रुटि बहु-पंक्ति स्थिति के अंत में प्रकट होती है :)। प्रकाशन देखें"अंतिम पंक्ति का प्रभाव".

चेतावनी N8

विश्लेषक चेतावनी: V3095 [सीडब्ल्यूई-476] 'इंस्टाल्डपैकेज' ऑब्जेक्ट का उपयोग शून्य के विरुद्ध सत्यापित होने से पहले किया गया था। पंक्तियाँ जाँचें: 910, 917. NugetService.cs 910

public virtual ConcurrentDictionary<string, PackageResult> get_outdated(....)
{
  ....
  var pinnedPackageResult = outdatedPackages.GetOrAdd(
    packageName, 
    new PackageResult(installedPackage, 
                      _fileSystem.combine_paths(
                        ApplicationParameters.PackagesLocation, 
                        installedPackage.Id)));
  ....
  if (   installedPackage != null
      && !string.IsNullOrWhiteSpace(installedPackage.Version.SpecialVersion) 
      && !config.UpgradeCommand.ExcludePrerelease)
  {
    ....
  }
  ....
}

क्लासिक गलती: पहले आपत्ति करें इंस्टॉलपैकेज प्रयोग किया जाता है और फिर जाँच की जाती है रिक्त. यह निदान हमें प्रोग्राम में दो समस्याओं में से एक के बारे में बताता है: या तो इंस्टॉलपैकेज कभी भी बराबर नहीं रिक्त, जो संदिग्ध है, और फिर चेक अनावश्यक है, या हमें संभावित रूप से कोड में एक गंभीर त्रुटि मिल सकती है - एक शून्य संदर्भ तक पहुंचने का प्रयास।

निष्कर्ष

इसलिए हमने एक और छोटा कदम उठाया है - अब पीवीएस-स्टूडियो का उपयोग करना और भी आसान और सुविधाजनक हो गया है। मैं यह भी कहना चाहूंगा कि चॉकलेटी एक अच्छा पैकेज मैनेजर है, जिसके कोड में कम संख्या में त्रुटियां हैं, जो पीवीएस-स्टूडियो का उपयोग करते समय और भी कम हो सकती हैं।

हम आपको आमंत्रित करते हैं डाउनलोड और पीवीएस-स्टूडियो आज़माएं। स्थैतिक विश्लेषक के नियमित उपयोग से आपकी टीम द्वारा विकसित कोड की गुणवत्ता और विश्वसनीयता में सुधार होगा और कई को रोकने में मदद मिलेगी शून्य दिन की कमजोरियाँ.

पुनश्च

प्रकाशन से पहले, हमने लेख को चॉकलेटी डेवलपर्स को भेजा था, और उन्हें यह अच्छा लगा। हमें कुछ भी महत्वपूर्ण नहीं मिला, लेकिन उदाहरण के लिए, उन्हें "एपीआई-की" कुंजी से संबंधित जो बग मिला, वह पसंद आया।

यदि आप इस लेख को अंग्रेजी भाषी दर्शकों के साथ साझा करना चाहते हैं, तो कृपया अनुवाद लिंक का उपयोग करें: व्लादिस्लाव स्टोलारोव। पीवीएस-स्टूडियो अब चॉकलेटी में है: Azure DevOps के तहत चॉकलेटी की जाँच कर रहा है.

स्रोत: www.habr.com