סקירה עצמאית של PVS-Studio (Linux, C++)

ראיתי פרסום ש-PVS למדה לנתח תחת לינוקס, והחלטתי לנסות אותו בפרויקטים שלי. וזה מה שיצא מזה.

תוכן

1. Pros
2. חסרונות
3. תוצאות של
4. אחרית דבר

Pros

תמיכה מגיבה

ביקשתי מפתח ניסיון והם שלחו לי אותו באותו היום.

תיעוד די ברור

הצלחנו להפעיל את הנתח ללא בעיות. עזרה עבור פקודות מסוף זמינה גם כן (למרות שיש כאן כמה תלונות, ראה סעיף חסרונות).

אפשרות לניתוח רב חוטים

לנתח יש אפשרות "סטנדרטית". -j, המאפשר לבצע ניתוח במקביל במספר משימות. זה חוסך הרבה זמן.

הדמיה טובה

פורמטי פלט רבים ושונים, מטקסט ועד לוע רשת קטן. ממשק האינטרנט נוח, תמציתי, עם רמזים לצד שורות בקוד וקישורים לתיאורי אבחון.

שילוב קל בהרכבה

כל התיעוד נמצא באתר שלהם, אני יכול רק לומר שאם הפרויקט שלכם בנוי באמצעות CMake, אז הכל מאוד פשוט.

תיאורי אבחון טובים

אם אתה מייצר פלט במצב fullhtml, אז לכל הודעה יש קישור לתיאור אבחון, עם הסברים, דוגמאות קוד וקישורים נוספים.

חסרונות

בורות של שפת C++ על ידי המנתח

לרוע המזל, PVS לפעמים עושה שגיאות תחביר ומייצר הודעות חיוביות שגויות כאשר הקוד נכון לחלוטין.

למשל, יש פונקציה שמחזירה void:

template <typename T>
auto copy (const void * source, void * destination)
    ->
        std::enable_if_t
        <
            std::is_copy_constructible<T>::value
        >
{
    new (destination) T(*static_cast<const T *>(source));
}

כן, מילת מפתח auto יכול להתכוון void, בשביל זה זה נועד המכונית. אבל PVS הוציא את ההודעות הבאות:

dynamic_tuple_management.hpp:29:1: error: V591 Non-void function should return a value.
dynamic_tuple_management.hpp:29:1: error: V2542 Function with a non-void return type should return a value from all exit paths.

אתר איטי מאוד

כן, בממשק האינטרנט שליד כל הודעה יש קישור לתיאור האבחון המתאים עם דוגמאות. אבל כשאתה לוחץ על קישור, אתה צריך לחכות די הרבה זמן, ולפעמים זה קורה 504 Gateway פסק זמן.

שפה

כל התיאורים הם ברוסית, וזה נהדר. אבל קישורים מהדוח תמיד מובילים לגרסה האנגלית. זה יהיה נחמד להיות מסוגל להחליף את השפה כדי שתוכל להציג אבחון מיד ברוסית. לא מצאתי אפשרות כזו בממשק.

זה לא נוח לעבוד עם רמות אבחון דרך הקונסולה

נתחיל עם העובדה ששתי הפקודות שבהן נעשה שימוש (זה pvs-studio-analyzer и plog-converter) פורמטים שונים לציון אבחון.

לעזור ל pvs-studio-analyzer קורא:

-a [MODE], --analysis-mode [MODE]
    MODE defines the type of warnings:
    1 - 64-bit errors;
    2 - reserved;
    4 - General Analysis;
    8 - Micro-optimizations;
    16 - Customers Specific Requests;
    32 - MISRA.
    Modes can be combined by adding the values
    Default: 4

ביליתי הרבה זמן בניסיון להבין לאן ללכת הוסף ("הוספת הערכים"). ניסיתי לרשום אותם מופרדים בפסיקים:

pvs-studio-analyzer analyze ... -a 1,4,16

ניסיתי לרשום את המפתח מספר פעמים:

pvs-studio-analyzer analyze ... -a 1 -a 4 -a 16

ורק אז הבנתי שאלו מסכות קצת! ואתה צריך לסיכוםולא הוסף משמעויות. לדוגמה, כדי לקבל אבחון כללי, אבחון עבור מיקרו-אופטימיזציות ו-MISRA, עליך לסכם אותם (4 + 8 + 32 = 44):

pvs-studio-analyzer analyze ... -a 44

שימוש במסכות סיביות בממשקי משתמש הוא בדרך כלל צורה גרועה. ניתן היה לסכם את כל זה באופן פנימי, ולהגדיר קבוצה של דגלים עבור המשתמש.

בנוסף, יש גם שירות plog-converter, אשר מייצר מידע ניתוח סטטי קריא אנושי. יש לה בעיות אחרות.

עזרה לתוכנית plog-converter דיווחים:

-a, --analyzer            Specifies analyzer(s) and level(s) to be
                          used for filtering, i.e.
                          'GA:1,2;64:1;OP:1,2,3;CS:1;MISRA:1,2'
                          Default: GA:1,2

הופיעו כאן כמה "רמות" שלא היו שם קודם, וגם לא מצאתי עליהן שום דבר בתיעוד.

באופן כללי, זה לא ברור. לכן הצבתי הכל למקסימום.

חבורה של קללות מטופשות על Catch

שניים מתוך שלושת הפרויקטים שניתחתי משתמשים בספריית בדיקות יחידה Catch2. ולחלק הארי של הודעות (!!! 90 מתוך 138 באחת ו-297 מתוך 344 בשנייה!!!) יש את הטופס הבא:

לא לוקח בחשבון ריבוי פתילים

יש הרבה תוצאות חיוביות שגויות לגבי משתנים כביכול בלתי משתנים או לולאות אינסופיות, בעוד שעבודה עם משתנים אלו מתרחשת משרשורים שונים, ואם זה לא היה כך, אז בדיקות יחידה לא היו עובדות.

עם זאת, האם מנתח סטטי יכול בכלל לקחת זאת בחשבון? לא יודע.

תוצאות של

PVS לא מצא באגים אמיתיים בפרויקטי הקוד הפתוח שלי התפרצות и פרוקסימה, וכן בטיוטת עבודה, שמסיבות ברורות איני יכול להציגה. נכון, כדאי לזכור שכמה חסרונות כבר נתפסו ותוקנו קודם לכן באמצעות Cppcheck и scan-build.

באופן כללי, הרושם מכל הניתוחים הללו הוא בערך אותו הדבר: כן, הם תופסים משהו, לפעמים אפילו משהו חשוב, אבל בסך הכל המהדר מספיק.

זה אפשרי (ואני אישית אוהב לחשוב כך) שהצוות שלנו משתמש בשיטות פיתוח תוכנה שמאפשרות לנו לייצר כמות מינימלית של קוד מחורבן. עדיף לא ליצור בעיות מאשר להתגבר עליהן בגבורה.

לכן, אני לוקח את החופשי לתת כמה עצות איך לכתוב ב-C++ בצורה כזו שלא לירות לאף אחד את הרגליים או להכות מישהו במצח במגרפה.

הפק את המרב מאבחון מהדר

הצוות שלנו משתמש (ומיעץ לך) באפשרויות הקומפילציה הבאות:

-Werror

-Wall
-Wextra
-Wpedantic

-Wcast-align
-Wcast-qual
-Wconversion
-Wctor-dtor-privacy
-Wenum-compare
-Wfloat-equal
-Wnon-virtual-dtor
-Wold-style-cast
-Woverloaded-virtual
-Wredundant-decls
-Wsign-conversion
-Wsign-promo

אפשר אותם בפרויקט שלך ולמד הרבה על הקוד שלך.

היצמד לתקן

נסה לא להשתמש בדברים תלויי פלטפורמה אם יש אנלוגים סטנדרטיים, ואם אתה ממש לא יכול בלעדיהם, עטוף אותם בבלוקים מיוחדים עבור פקודות מאקרו (או משהו אחר) ופשוט אל תיתן לקוד שלך להיות קומפילציה בתנאים לא נתמכים.

היצמד לסמנטיקה של פעולה רגילה

הוספה חייבת להיות חיבור, הכפל חייב להיות כפל, קריאת הפונקציה חייבת להיות קריאת פונקציה, העתקה חייבת להיות העתקה, carry חייבת להיות carry, מיכל חייב להיות איטרציה, איטרטור חייב להיות קידום ++ והתייחסות *. וכן הלאה וכן הלאה.

אני חושב שהרעיון ברור. ישנן מוסכמות מבוססות שאינן מחייבות, אך כל המשתמשים והקוראים של הקוד שלך מצפים לראות. אל תנסה להערים על אחרים, אחרת תערים על עצמך.

כתוב קוד תואם

קודם כל, אני מתכוון לספרייה הסטנדרטית. רצוי מאוד שניתן יהיה להשתמש בממשקי המחלקות והפונקציות שלך עם ספריות סטנדרטיות ואחרות (לדוגמה, Boost).

אל תהסס להסתכל על ממשקי STL ו-Boost. למעט חריגים נדירים, תראה שם מודל לחיקוי ראוי.

הפק את המרב מכלי קוד פתוח

עבור אותו ניתוח סטטי, ישנם לפחות שני כלים פתוחים בחינם שניתן לחבר רק פעם אחת לכל פרויקט עם מערכת הבנייה CMake.

תוכל לקרוא עוד על כך בפרסום האחרון שלי.

אחרית דבר

לבסוף, ברצוני להדגיש שאני לא תומך שלא להשתמש ב-PVS או בכל מנתח סטטי אחר. אבל אני ממליץ לך לחשוב איך קרה שהנתח הסטטי מוצא כל הזמן שגיאות משמעותיות בקוד שלך.

זו רק תוצאה. אנחנו צריכים לחפש ולחסל את הסיבה.

מקור: www.habr.com