🥇Статичка анализа - од вовед до интеграција

Уморни од бескрајно прегледување на код или дебагирање, понекогаш размислувате како да си го поедноставите животот. И откако малку ќе побарате, или случајно ќе се сопнете на него, можете да ја видите магичната фраза: „Статичка анализа“. Ајде да видиме што е тоа и како може да комуницира со вашиот проект.

Всушност, ако пишувате на кој било современ јазик, тогаш, без да го сфатите тоа, го поминавте преку статичен анализатор. Факт е дека секој модерен компајлер обезбедува, иако мал, сет на предупредувања за потенцијални проблеми во кодот. На пример, при составување на кодот C++ во Visual Studio, може да го видите следново:

Во овој излез гледаме дека променливата var никогаш не бил користен никаде во функцијата. Така, во реалноста, скоро секогаш користевте едноставен анализатор на статички код. Сепак, за разлика од професионалните анализатори како што се Coverity, Klocwork или PVS-Studio, предупредувањата обезбедени од компајлерот може да укажуваат само на мал опсег на проблеми.

Ако не знаете со сигурност што е статичка анализа и како да ја спроведете, прочитајте ја оваа статијада дознаете повеќе за оваа методологија.

Зошто ви е потребна статичка анализа?

Накратко: забрзување и поедноставување.

Статичката анализа ви овозможува да најдете многу различни проблеми во кодот: од неправилна употреба на јазични конструкции до печатни грешки. На пример, наместо

auto x = obj.x;
auto y = obj.y;
auto z = obj.z;

Го напишавте следниот код:

auto x = obj.x;
auto y = obj.y;
auto z = obj.x;

Како што можете да видите, има печатна грешка во последната линија. На пример, PVS-Studio го издава следново предупредување:

V537 Размислете за прегледување на исправноста на употребата на ставката „y“.

Ако сакате да ги пробиете рацете во оваа грешка, обидете се со готов пример во Compiler Explorer: *плаче*.

И како што разбирате, не е секогаш можно веднаш да се обрне внимание на таквите делови од кодот, и поради тоа, можете да седнете да дебагирате добар час, прашувајќи се зошто сè работи толку чудно.

Сепак, ова е очигледно грешка. Што ако програмерот напишал неоптимален код затоа што заборавил некоја суптилност на јазикот? Или дури и дозволено во кодот недефинирано однесување? За жал, ваквите случаи се сосема вообичаени и лавовскиот дел од времето се троши на дебагирање на конкретно работен код кој содржи печатни грешки, типични грешки или недефинирано однесување.

Токму за овие ситуации се појави статичка анализа. Ова е асистент за развивачот кој ќе посочи различни проблеми во кодот и ќе објасни во документацијата зошто не е неопходно да се пишува на овој начин, до што може да доведе и како да се поправи. Еве пример за тоа како би можело да изгледа: *плаче*.

Можете да најдете поинтересни грешки што може да ги открие анализаторот во написите:

Сега кога го прочитавте овој материјал и сте убедени во придобивките од статичката анализа, можеби ќе сакате да го испробате. Но, од каде да се започне? Како да интегрирате нова алатка во вашиот тековен проект? И како да го запознае тимот со него? Одговорите на овие прашања ќе ги најдете подолу.

Забелешка. Статичката анализа не заменува или откажува толку корисна работа како прегледи на кодови. Тој го надополнува овој процес, помагајќи однапред да се забележат и коригираат печатни грешки, неточности и опасните дизајни. Многу попродуктивно е да се фокусираме на прегледи на кодови за алгоритми и јасност на кодот, наместо да бараме погрешна заграда или читаат здодевни споредбени функции.

0. Запознавање со алатката

Сè започнува со пробна верзија. Навистина, тешко е да се одлучите да внесете нешто во процесот на развој ако никогаш претходно не сте ја виделе алатката во живо. Затоа, првото нешто што треба да направите е да преземете пробна верзија.

Што ќе научите во оваа фаза:

Кои се начините за интеракција со анализаторот;
Дали анализаторот е компатибилен со вашата развојна околина?
Какви проблеми има моментално во вашите проекти?

Откако ќе инсталирате сè што ви треба, првото нешто што треба да направите е да извршите анализа на целиот проект (Windows, Linux, MacOS). Во случај на PVS-Studio во Visual Studio ќе видите слична слика (со кликнување):

Факт е дека статичките анализатори обично издаваат огромен број предупредувања за проекти со голема база на кодови. Нема потреба да ги поправате сите, бидејќи вашиот проект веќе работи, што значи дека овие проблеми не се критични. Сепак, вие можете да ги погледнете најинтересните предупредувања и поправете ги доколку е потребно. За да го направите ова, треба да го филтрирате излезот и да оставите само најсигурни пораки. Во приклучокот PVS-Studio за Visual Studio, ова се прави со филтрирање по нивоа и категории на грешки. За најпрецизен излез, оставете го само Високо и Генерално (исто така може да се кликне):

Навистина, 178 предупредувања се многу полесни за прегледување отколку неколку илјади ...

Во јазичиња Медиум и Ниско Честопати има добри предупредувања, но овие категории ги вклучуваат оние дијагностика кои имаат помала точност (сигурност). Повеќе информации за нивоата на предупредување и опциите за работа под Windows може да најдете овде: *плаче*.

Вреди да се успешно прегледани најинтересните грешки (и успешно да се поправат). потиснете ги преостанатите предупредувања. Ова е неопходно за да не се изгубат новите предупредувања меѓу старите. Дополнително, статичкиот анализатор е асистент за програмерот, а не список на грешки. 🙂

1. Автоматизација

Откако ќе се запознаете, време е да ги конфигурирате приклучоците и да се интегрирате во CI. Ова мора да се направи пред програмерите да почнат да го користат статичкиот анализатор. Факт е дека програмерот може да заборави да овозможи анализа или воопшто да не сака да го направи тоа. За да го направите ова, треба да направите некоја конечна проверка на сè, така што непроверениот код не може да влезе во гранката за општ развој.

Што ќе научите во оваа фаза:

Кои опции за автоматизација ги обезбедува алатката;
Дали анализаторот е компатибилен со вашиот систем за склопување?

Бидејќи совршена документација не постои, понекогаш треба да се напише поддршка. Ова е нормално и ние сме среќни да ви помогнеме. 🙂

Сега да преминеме на услугите за континуирана интеграција (CI). Секој анализатор може да се имплементира во нив без никакви сериозни проблеми. За да го направите ова, треба да креирате посебна фаза во гасоводот, која обично се наоѓа по тестовите за изградба и единица. Ова е направено со користење на разни алатки за конзола. На пример, PVS-Studio ги обезбедува следниве алатки:

PVS-Studio_Cmd.exe (анализа на решенија, C#, C++ проекти на Windows)
CLMonitor.exe (следење на компилацијата)
pvs-студио-анализатор (анализа на C++ проекти на Linux / macOS)
pvs-studio-dotnet (анализа на решенија, C# проекти на Linux / macOS)
pvs-studio.тегла (анализа на Java проекти)
PlogConverter (пријавете конвертор на датотеки)

За да ја интегрирате анализата во CI, треба да направите три работи:

Инсталирајте го анализаторот;
Стартувај анализа;
Испорача резултати.

На пример, за да инсталирате PVS-Studio на Linux (Debian-base), треба да ги извршите следните команди:

wget -q -O - https://files.viva64.com/etc/pubkey.txt 
    | sudo apt-key add -
sudo wget -O /etc/apt/sources.list.d/viva64.list 
  https://files.viva64.com/etc/viva64.list
  
sudo apt-get update -qq
sudo apt-get install -qq pvs-studio

На системи што работат со Windows, не постои начин да се инсталира анализаторот од менаџерот на пакети, но можно е да се распореди анализаторот од командната линија:

PVS-Studio_setup.exe /verysilent /suppressmsgboxes 
/norestart /nocloseapplications

Можете да прочитате повеќе за распоредувањето на PVS-Studio на системи со Windows *тука*.

По инсталацијата, треба директно да ја извршите анализата. Сепак, се препорачува да го направите ова само откако ќе поминат компилацијата и тестовите. Ова е затоа што статичката анализа обично трае двапати подолго од компилацијата.

Бидејќи методот на лансирање зависи од платформата и карактеристиките на проектот, ќе ја покажам опцијата за C++ (Linux) како пример:

pvs-studio-analyzer analyze -j8 
                            -o PVS-Studio.log
plog-converter -t errorfile PVS-Studio.log --cerr -w

Првата команда ќе ја изврши анализата, а втората пликовиго конвертира извештајот во текстуален формат, го прикажува на екранот и враќа повратен код различен од 0 доколку има предупредувања. Механизмот како овој може практично да се користи за блокирање на изградбата кога има пораки за грешка. Сепак, секогаш можете да го отстраните знамето -w и не блокирајте склоп што содржи предупредувања.

Забелешка. Форматот на текстот е незгоден. Дадено е едноставно како пример. Обрнете внимание на поинтересен формат на извештај - FullHtml. Ви овозможува да се движите низ кодот.

Можете да прочитате повеќе за поставување анализа на CI во статијата "PVS-Studio и континуирана интеграција" (Windows) или"Како да поставите PVS-Studio во Travis CI" (Линукс).

Во ред, го конфигуриравте анализаторот на серверот за изградба. Сега, ако некој поставил непроверен код, фазата на верификација ќе пропадне и ќе можете да го откриете проблемот, сепак, ова не е сосема погодно, бидејќи е поефикасно да се провери проектот не откако ќе се спојат гранките, туку пред него, во фазата на барање за повлекување.

Општо земено, поставувањето анализа на барање за повлекување не се разликува многу од вообичаеното лансирање на анализа на CI. Освен потребата да се добие список на променети датотеки. Овие обично може да се добијат со барање на разликите помеѓу гранките користејќи git:

git diff --name-only HEAD origin/$MERGE_BASE > .pvs-pr.list

Сега треба да ја предадете оваа листа на датотеки на анализаторот како влез. На пример, во PVS-Studio ова се спроведува со користење на знамето -S:

pvs-studio-analyzer analyze -j8 
                            -o PVS-Studio.log 
                            -S .pvs-pr.list

Можете да дознаете повеќе за анализа на барањата за повлекување *тука*. Дури и ако вашиот CI не е на списокот на услуги споменати во статијата, ќе ви биде корисен општиот дел посветен на теоријата на овој тип на анализа.

Со поставување на анализа на барањата за повлекување, можете да блокирате обврзувања што содржат предупредувања, а со тоа да создадете граница што непроверениот код не може да ја премине.

Сето ова е секако добро, но би сакал да можам да ги видам сите предупредувања на едно место. Не само од статичкиот анализатор, туку и од единечните тестови или од динамичкиот анализатор. Постојат различни услуги и додатоци за ова. PVS-Studio, на пример, има приклучок за интеграција во SonarQube.

2. Интеграција на машини за развивачи

Сега е време да го инсталирате и конфигурирате анализаторот за секојдневна развојна употреба. До овој момент веќе сте се запознале со повеќето начини на работа, па ова може да се нарече најлесниот дел.

Како наједноставна опција, програмерите можат сами да го инсталираат потребниот анализатор. Сепак, ова ќе потрае многу време и ќе ги одвлече од развојот, па можете да го автоматизирате овој процес користејќи инсталатер и потребните знаменца. За PVS-Studio има различни знаменца за автоматска инсталација. Сепак, секогаш има менаџери на пакети, на пример, Chocolatey (Windows), Homebrew (macOS) или десетици опции за Linux.

Потоа ќе треба да ги инсталирате потребните приклучоци, на пример за Visual Studio, ИДЕА, Велосипедист итн

3. Секојдневна употреба

Во оваа фаза, време е да кажете неколку зборови за начините за забрзување на анализаторот при секојдневна употреба. За целосна анализа на целиот проект потребно е многу време, но колку често го менуваме кодот во текот на целиот проект одеднаш? Речиси и да нема рефакторирање кое е толку големо што веднаш ќе влијае на целата база на кодови. Бројот на датотеки што се менуваат во исто време ретко надминува десетина, па има смисла да се анализираат. За таква ситуација постои режим на инкрементална анализа. Само не плашете се, ова не е друга алатка. Ова е специјален режим кој ви овозможува да ги анализирате само променетите датотеки и нивните зависности, а тоа се случува автоматски по изградбата ако работите во IDE со инсталиран додаток.

Ако анализаторот открие проблеми во неодамна променетиот код, тоа ќе го пријави независно. На пример, PVS-Studio ќе ви каже за ова користејќи предупредување:

Се разбира, не е доволно да им се каже на програмерите да ја користат алатката. Треба некако да им кажеме што е и како е. Еве, на пример, статии за брз почеток на PVS-Studio, но можете да најдете слични упатства за која било алатка што ја претпочитате:

Ваквите написи ги обезбедуваат сите информации потребни за секојдневна употреба и не одземаат многу време. 🙂

Дури и во фазата на запознавање со алатката, потиснавме многу предупредувања за време на едно од првите лансирања. За жал, статичките анализатори не се совршени, па одвреме-навреме даваат лажни позитиви. Обично е лесно да ги потиснете; на пример, во приклучокот PVS-Studio за Visual Studio, само треба да кликнете на едно копче:

Сепак, можете да направите повеќе отколку само да ги потиснете. На пример, можете да пријавите проблем на поддршка. Ако лажното позитивно може да се коригира, тогаш во идните ажурирања може да забележите дека секој пат има се помалку и помалку лажни позитиви специфични за вашата база на кодови.

После интеграциите

Така, ги поминавме сите фази на интегрирање на статичка анализа во развојниот процес. И покрај важноста за поставување на такви алатки на CI, најважното место за нивно извршување е компјутерот на развивачот. На крајот на краиштата, статичен анализатор не е судија кој некаде далеку од вас вели дека кодот не е добар. Напротив, тоа е асистент кој ви кажува дали сте уморни и ве потсетува дали нешто сте заборавиле.

Точно, без редовна употреба, статичката анализа веројатно нема значително да го поедностави развојот. На крајот на краиштата, нејзината главна придобивка за развивачот не лежи толку во барањето сложени и контроверзни делови од кодот, туку во нивното рано откривање. Согласете се дека откривањето проблем откако уредувањата ќе бидат испратени на тестирање не само што е непријатно, туку и одзема многу време. Статичката анализа, кога се користи редовно, ја разгледува секоја промена директно на вашиот компјутер и известува за сомнителни места додека работи на кодот.

И ако вие или вашите колеги сè уште не сте сигурни дали вреди да се имплементира анализаторот, тогаш ви предлагам сега да започнете да ја читате статијата "Причини за воведување на статичниот анализатор на код PVS-Studio во процесот на развојСе однесува на типичните грижи на програмерите дека статичката анализа ќе им одземе време и така натаму.

Ако сакате да ја споделите оваа статија со публика што зборува англиски, ве молиме користете ја врската за превод: Максим Звјагинцев. Статичка анализа: од почеток до интеграција.

Извор: www.habr.com

Статичка анализа - од вовед до интеграција