PVS-Studio は Chocolatey になりました: Azure DevOps から Chocolatey を確認します

私たちは、PVS-Studio の使用をさらに便利にしていきます。 私たちのアナライザーは、Windows 用のパッケージ マネージャーである Chocolatey で利用できるようになりました。 これにより、特にクラウド サービスでの PVS-Studio の導入が容易になると考えています。 行き過ぎないように、同じ Chocolatey のソースコードを確認してみましょう。 Azure DevOps は CI システムとして機能します。

クラウド システムとの統合に関するトピックに関する他の記事のリストは次のとおりです。

• PVS-Studio がクラウドに移行: Azure DevOps
• PVS-Studio がクラウドへ: Travis CI
• PVS-Studio がクラウドに移行: CircleCI
• PVS-Studio がクラウドへ: GitLab CI/CD

Azure DevOps との統合に関する最初の記事に注意することをお勧めします。この記事では、重複しないようにいくつかの点が省略されています。

したがって、この記事の主人公は次のとおりです。

PVSスタジオ は、C、C++、C#、および Java で書かれたプログラムのエラーと潜在的な脆弱性を特定するために設計された静的コード分析ツールです。 64 ビット Windows、Linux、および macOS システム上で実行され、32 ビット、64 ビット、および組み込み ARM プラットフォーム用に設計されたコードを分析できます。 プロジェクトをチェックするために静的コード分析を初めて試す場合は、次の内容に慣れることをお勧めします。 記事 最も興味深い PVS-Studio 警告をすばやく表示し、このツールの機能を評価する方法について説明します。

Azure DevOps — 開発プロセス全体を共同でカバーする一連のクラウド サービス。 このプラットフォームには、Azure Pipelines、Azure Boards、Azure Artifacts、Azure Repos、Azure Test Plans などのツールが含まれており、ソフトウェアの作成プロセスを高速化して品質を向上させることができます。

チョコレート は、Windows 用のオープンソース パッケージ マネージャーです。 このプロジェクトの目標は、Windows オペレーティング システムのインストールからアップデート、アンインストールに至るまでのソフトウェア ライフサイクル全体を自動化することです。

Chocolateyのご利用について

パッケージマネージャー自体をインストールする方法は、ここで確認できます リンク。 アナライザーのインストールに関する完全なドキュメントは、次の場所から入手できます。 リンク 「Chocolatey パッケージ マネージャーを使用したインストール」セクションを参照してください。 そこからいくつかのポイントを簡単に繰り返します。

アナライザーの最新バージョンをインストールするコマンド:

choco install pvs-studio

特定のバージョンの PVS-Studio パッケージをインストールするコマンド:

choco install pvs-studio --version=7.05.35617.2075

デフォルトでは、アナライザーのコアであるコア コンポーネントのみがインストールされます。 他のすべてのフラグ (スタンドアロン、JavaCore、IDEA、MSVS2010、MSVS2012、MSVS2013、MSVS2015、MSVS2017、MSVS2019) は、--package-parameters を使用して渡すことができます。

Visual Studio 2019 のプラグインを含むアナライザーをインストールするコマンドの例:

choco install pvs-studio --package-parameters="'/MSVS2019'"

次に、Azure DevOps でのアナライザーの便利な使用例を見てみましょう。

調整

アカウントの登録、ビルド パイプラインの作成、GitHub リポジトリにあるプロジェクトとアカウントの同期などの問題については、別のセクションがあることを思い出してください。 記事。 セットアップはすぐに構成ファイルの作成から始まります。

まず、起動トリガーを設定して、変更があった場合にのみ起動することを示します。 マスター 支店：

trigger:
- master

次に、仮想マシンを選択する必要があります。 現時点では、Windows Server 2019 および Visual Studio 2019 を使用する Microsoft ホスト型エージェントになります。

pool:
  vmImage: 'windows-latest'

設定ファイルの本体 (ブロック) に移りましょう。 ステップ）。 仮想マシンには任意のソフトウェアをインストールできないにもかかわらず、Docker コンテナーは追加しませんでした。 Chocolatey を Azure DevOps の拡張機能として追加できます。 これを行うには、次の場所に行きましょう リンク。 クリック 無料で入手。 次に、すでに認証されている場合はアカウントを選択するだけで、認証されていない場合は認証後に同じことを行います。

ここで、拡張機能を追加する場所を選択し、ボタンをクリックする必要があります インストールを開始する.

インストールが成功したら、 をクリックします。 組織に進む:

Chocolatey タスクのテンプレートがウィンドウに表示されるようになりました。 タスク 設定ファイルを編集するとき azure-pipelines.yml:

Chocolatey をクリックすると、フィールドのリストが表示されます。

ここで選択する必要があります install チームと一緒にフィールドで。 で Nuspec ファイル名 必要なパッケージの名前を指定します – pvs-studio。 バージョンを指定しない場合は、完全に適合する最新のバージョンがインストールされます。 ボタンを押してみましょう 加えます 生成されたタスクが構成ファイルに表示されます。

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

次に、ファイルの主要部分に進みましょう。

- task: CmdLine@2
  inputs:
    script: 

次に、アナライザー ライセンスを含むファイルを作成する必要があります。 ここ PVS名 и PVSKEY – 設定で値を指定する変数の名前。 これらには、PVS-Studio ログインとライセンス キーが保存されます。 値を設定するには、メニューを開きます 変数 -> 新しい変数。 変数を作成しましょう PVS名 ログイン用と PVSKEY アナライザーキー用。 チェックボックスを忘れずにチェックしてください この値は秘密にしておいてください のために PVSKEY。 コマンドコード:

сall "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" credentials 
–u $(PVSNAME) –n $(PVSKEY)

リポジトリにあるバット ファイルを使用してプロジェクトをビルドしましょう。

сall build.bat

アナライザーの結果を含むファイルを保存するフォルダーを作成しましょう。

сall mkdir PVSTestResults

プロジェクトの分析を始めましょう。

сall "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
–t .srcchocolatey.sln –o .PVSTestResultsChoco.plog 

PlogСonverter ユーティリティを使用してレポートを HTML 形式に変換します。

сall "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
–t html –o PVSTestResults .PVSTestResultsChoco.plog

次に、レポートをアップロードできるようにタスクを作成する必要があります。

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

完全な構成ファイルは次のようになります。

trigger:
- master

pool:
  vmImage: 'windows-latest'

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

- task: CmdLine@2
  inputs:
    script: |
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      credentials –u $(PVSNAME) –n $(PVSKEY)
      call build.bat
      call mkdir PVSTestResults
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      –t .srcchocolatey.sln –o .PVSTestResultsChoco.plog
      call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
      –t html –o .PVSTestResults .PVSTestResultsChoco.plog

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

クリックしましょう 保存 -> 保存 -> 実行 タスクを実行します。 [タスク] タブに移動してレポートをダウンロードしましょう。

Chocolatey プロジェクトには、C# コードが 37615 行しか含まれていません。 見つかったエラーのいくつかを見てみましょう。

試験結果

警告N1

アナライザーの警告: V６０ 「Provider」変数はそれ自体に割り当てられます。 CrytpoHashProviderSpecs.cs 38

public abstract class CrytpoHashProviderSpecsBase : TinySpec
{
  ....
  protected CryptoHashProvider Provider;
  ....
  public override void Context()
  {
    Provider = Provider = new CryptoHashProvider(FileSystem.Object);
  }
}

アナライザーは、それ自体への変数の代入を検出しましたが、これは意味がありません。 おそらく、これらの変数の XNUMX つの代わりに、別の変数が存在するはずです。 または、これはタイプミスであり、余分な割り当ては単純に削除できます。

警告N2

アナライザーの警告: V６０ [CWE-480] 「&」演算子は両方のオペランドを評価します。 おそらく、代わりに短絡演算子「&&」を使用する必要があります。 プラットフォーム.cs 64

public static PlatformType get_platform()
{
  switch (Environment.OSVersion.Platform)
  {
    case PlatformID.MacOSX:
    {
      ....
    }
    case PlatformID.Unix:
    if(file_system.directory_exists("/Applications")
      & file_system.directory_exists("/System")
      & file_system.directory_exists("/Users")
      & file_system.directory_exists("/Volumes"))
      {
        return PlatformType.Mac;
      }
        else
          return PlatformType.Linux;
    default:
      return PlatformType.Windows;
  }
}

演算子の違い & オペレーターからの && 式の左辺が falseの場合、右側は引き続き計算されますが、この場合、不必要なメソッド呼び出しを意味します。 system.directory_exists.

検討した断片では、これは小さな欠陥です。 はい、この条件は & 演算子を && 演算子に置き換えることで最適化できますが、実際的な観点からは、これは何も影響しません。 ただし、式の右側が不正な値または無効な値で扱われる場合、& と && の間の混同により重大な問題が発生する可能性があります。 たとえば、エラー コレクションでは、次のようになります。 V3093 診断を使用して特定、次のようなケースがあります。

if ((k < nct) & (s[k] != 0.0))

インデックスであっても、 k は正しくありません。配列要素にアクセスするために使用されます。 その結果、例外がスローされます IndexOutOfRangeException.

警告N3、N4

アナライザーの警告: V６０ [CWE-571] 式「shortPrompt」は常に true です。 インタラクティブプロンプト.cs 101
アナライザーの警告: V６０ [CWE-571] 式「shortPrompt」は常に true です。 インタラクティブプロンプト.cs 105

public static string 
prompt_for_confirmation(.... bool shortPrompt = false, ....)
{
  ....
  if (shortPrompt)
  {
    var choicePrompt = choice.is_equal_to(defaultChoice) //1
    ?
    shortPrompt //2
    ?
    "[[{0}]{1}]".format_with(choice.Substring(0, 1).ToUpperInvariant(), //3
    choice.Substring(1,choice.Length - 1))
    :
    "[{0}]".format_with(choice.ToUpperInvariant()) //0
    : 
    shortPrompt //4
    ? 
    "[{0}]{1}".format_with(choice.Substring(0,1).ToUpperInvariant(), //5
    choice.Substring(1,choice.Length - 1)) 
    :
    choice; //0
    ....
  }
  ....
}

この場合、三項演算子の動作の背後に奇妙なロジックがあります。 詳しく見てみましょう。番号 1 でマークした条件が満たされている場合は、条件 2 に進みます。 true, これは、行 3 が実行されることを意味します。条件 1 が false であることが判明した場合、番号 4 でマークされた行に進みます。この条件も常に満たされます。 true, これは、行 5 が実行されることを意味します。したがって、コメント 0 でマークされた条件は決して満たされず、プログラマが期待した動作ロジックと正確には一致しない可能性があります。

警告N5

アナライザーの警告: V６０ [CWE-783] おそらく、「?:」演算子が予想とは異なる方法で動作する可能性があります。 その優先順位は、その条件内の他の演算子の優先順位よりも低くなります。 オプション.cs 1019

private static string GetArgumentName (...., string description)
{
  string[] nameStart;
  if (maxIndex == 1)
  {
    nameStart = new string[]{"{0:", "{"};
  }
  else
  {
    nameStart = new string[]{"{" + index + ":"};
  }
  for (int i = 0; i < nameStart.Length; ++i) 
  {
    int start, j = 0;
    do 
    {
      start = description.IndexOf (nameStart [i], j);
    } 
    while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false);
    ....
    return maxIndex == 1 ? "VALUE" : "VALUE" + (index + 1);
  }
}

診断は次の行で機能しました。

while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false)

変数なので j 上の数行はゼロに初期化されており、三項演算子は値を返します false。 この条件のため、ループの本体は XNUMX 回だけ実行されます。 このコードはプログラマーの意図どおりにまったく機能しないように思えます。

警告N6

アナライザーの警告: V６０ [CWE-571] 式「installedPackageVersions.Count != 1」は常に true です。 NugetService.cs 1405

private void remove_nuget_cache_for_package(....)
{
  if (!config.AllVersions && installedPackageVersions.Count > 1)
  {
    const string allVersionsChoice = "All versions";
    if (installedPackageVersions.Count != 1)
    {
      choices.Add(allVersionsChoice);
    }
    ....
  }
  ....
}

ここには奇妙なネストされた条件があります。 installPackageVersions.Count != 1それはいつもそうなるだろう true。 多くの場合、このような警告はコード内の論理エラーを示しますが、単に冗長チェックを示している場合もあります。

警告N7

アナライザーの警告: V６０ '||' の左側と右側に同一の部分式 'commandArguments.contains("-apikey")' があります。 オペレーター。 ArgumentsUtility.cs 42

public static bool arguments_contain_sensitive_information(string
 commandArguments)
{
  return commandArguments.contains("-install-arguments-sensitive")
  || commandArguments.contains("-package-parameters-sensitive")
  || commandArguments.contains("apikey ")
  || commandArguments.contains("config ")
  || commandArguments.contains("push ")
  || commandArguments.contains("-p ")
  || commandArguments.contains("-p=")
  || commandArguments.contains("-password")
  || commandArguments.contains("-cp ")
  || commandArguments.contains("-cp=")
  || commandArguments.contains("-certpassword")
  || commandArguments.contains("-k ")
  || commandArguments.contains("-k=")
  || commandArguments.contains("-key ")
  || commandArguments.contains("-key=")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key");
}

コードのこのセクションを書いたプログラマは、最後の XNUMX 行をコピーして貼り付けましたが、編集するのを忘れていました。 このため、Chocolatey ユーザーはパラメータを適用できませんでした。 アピキー さらにいくつかの方法があります。 上記のパラメータと同様に、次のオプションを提供できます。

commandArguments.contains("-apikey=");
commandArguments.contains("-api-key=");

コピー＆ペースト エラーは、ソース コードが大量にあるプロジェクトでは遅かれ早かれ発生する可能性が高く、エラーに対処するための最良のツールの XNUMX つは静的分析です。

PS そしていつものように、このエラーは複数行の条件の最後に表示される傾向があります:)。 出版物を参照してください。最後の行の効果".

警告N8

アナライザーの警告: V６０ [CWE-476] 「installedPackage」オブジェクトは、null に対して検証される前に使用されました。 行を確認してください: 910、917。 NugetService.cs 910

public virtual ConcurrentDictionary<string, PackageResult> get_outdated(....)
{
  ....
  var pinnedPackageResult = outdatedPackages.GetOrAdd(
    packageName, 
    new PackageResult(installedPackage, 
                      _fileSystem.combine_paths(
                        ApplicationParameters.PackagesLocation, 
                        installedPackage.Id)));
  ....
  if (   installedPackage != null
      && !string.IsNullOrWhiteSpace(installedPackage.Version.SpecialVersion) 
      && !config.UpgradeCommand.ExcludePrerelease)
  {
    ....
  }
  ....
}

古典的な間違い: オブジェクトが先 インストールされたパッケージ が使用され、チェックされる ヌル。 この診断は、プログラム内の XNUMX つの問題のうちの XNUMX つについて示します。 インストールされたパッケージ 決して平等ではない ヌルこれは疑わしいため、チェックが冗長になるか、コード内で重大なエラー (null 参照へのアクセス試行) が発生する可能性があります。

まとめ

そこで、私たちはまた小さな一歩を踏み出しました。PVS-Studio の使用がさらに簡単かつ便利になりました。 また、Chocolatey はコード内のエラーが少ない優れたパッケージ マネージャーであることもお伝えしたいと思います。PVS-Studio を使用するとエラーはさらに少なくなる可能性があります。

私たちは招待します ダウンロード PVS-Studio を試してください。 静的アナライザーを定期的に使用すると、チームが開発するコードの品質と信頼性が向上し、さまざまな問題を防ぐのに役立ちます。 ゼロデイ脆弱性.

PS

公開前に、この記事を Chocolatey 開発者に送信したところ、好評を博しました。 重大な問題は何も見つかりませんでしたが、たとえば、「API-KEY」キーに関連して見つかったバグを彼らは気に入ってくれました。

この記事を英語圏の読者と共有したい場合は、翻訳リンクを使用してください: Vladislav Stolyarov。 PVS-Studio が Chocolatey になりました: Azure DevOps で Chocolatey を確認する.

出所： habr.com