{"id":32848,"date":"2019-10-31T21:49:16","date_gmt":"2019-10-31T18:49:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi\/"},"modified":"2019-10-31T21:49:16","modified_gmt":"2019-10-31T18:49:16","slug":"vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vnedryajte-staticheskij-analiz-v-protsess-a-ne-ishhite-s-ego-pomoshhyu-bagi","title":{"rendered":"Implemente a an\u00e1lise est\u00e1tica no processo, em vez de us\u00e1-la para encontrar falhas.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A motiva\u00e7\u00e3o para escrever este artigo foram os muitos materiais sobre an\u00e1lise est\u00e1tica que t\u00eam aparecido cada vez mais. Em primeiro lugar, este \u00e9 o blog PVS-studio<\/a><\/noindex>, que se promove ativamente no Habr por meio de an\u00e1lises de erros encontrados por sua ferramenta em projetos de c\u00f3digo aberto. Recentemente, a PVS-studio implementou suporte a Java<\/a><\/noindex>, e, claro, os desenvolvedores do IntelliJ IDEA, cujo analisador integrado \u00e9, atualmente, provavelmente o mais avan\u00e7ado para Java, n\u00e3o poderiam ficar de fora<\/a><\/noindex>. <\/p>\n

Ao ler tais an\u00e1lises, surge a sensa\u00e7\u00e3o de que se trata de uma po\u00e7\u00e3o m\u00e1gica: pressione um bot\u00e3o e l\u00e1 est\u00e1 \u2014 uma lista de defeitos diante de voc\u00ea. Parece que, \u00e0 medida que os analisadores melhoram, mais e mais erros ser\u00e3o automaticamente detectados, e os produtos, analisados por esses rob\u00f4s, se tornar\u00e3o cada vez melhores, sem qualquer esfor\u00e7o da nossa parte.<\/p>\n

Mas po\u00e7\u00f5es m\u00e1gicas n\u00e3o existem. Eu gostaria de falar sobre o que geralmente n\u00e3o \u00e9 mencionado em postagens como \"veja o que nosso rob\u00f4 pode encontrar\": o que os analisadores n\u00e3o conseguem fazer, qual \u00e9 o seu verdadeiro papel e lugar no processo de entrega de software, e como implement\u00e1-los corretamente.<\/p>\n

\"Implemente
\nRel\u00e9 (fonte: wikipedia<\/a><\/noindex>).<\/i>
\n<\/a><\/noindex><\/p>\n

O que os analisadores est\u00e1ticos nunca poder\u00e3o fazer<\/h2>\n

\nO que \u00e9, do ponto de vista pr\u00e1tico, a an\u00e1lise de c\u00f3digo-fonte? N\u00f3s fornecemos alguns c\u00f3digos-fonte, e em um curto espa\u00e7o de tempo (muito mais curto do que a execu\u00e7\u00e3o de testes) obtemos algumas informa\u00e7\u00f5es sobre o nosso sistema. A limita\u00e7\u00e3o fundamental e matematicamente insuper\u00e1vel \u00e9 que, dessa forma, podemos obter apenas uma classe bastante restrita de informa\u00e7\u00f5es.<\/p>\n

O exemplo mais famoso de um problema que n\u00e3o pode ser resolvido por meio de an\u00e1lise est\u00e1tica \u00e9 a problema da parada<\/a><\/noindex>: \u00e9 um teorema que demonstra que n\u00e3o \u00e9 poss\u00edvel desenvolver um algoritmo geral que, dado o c\u00f3digo-fonte de um programa, determine se ele ficar\u00e1 em loop ou se terminar\u00e1 em um tempo finito. Uma extens\u00e3o desse teorema \u00e9 teorema de Rice<\/a><\/noindex>, afirmando que, para qualquer propriedade n\u00e3o trivial de fun\u00e7\u00f5es comput\u00e1veis, a defini\u00e7\u00e3o de se um programa arbitr\u00e1rio calcula uma fun\u00e7\u00e3o com essa propriedade \u00e9 um problema algor\u00edtmicamente indecid\u00edvel. Por exemplo, \u00e9 imposs\u00edvel escrever um analisador que, a partir de qualquer c\u00f3digo-fonte, determine se o programa analisado \u00e9 uma implementa\u00e7\u00e3o de um algoritmo que calcula, digamos, o quadrado de um n\u00famero inteiro.<\/p>\n

Assim, a funcionalidade dos analisadores est\u00e1ticos tem limita\u00e7\u00f5es intranspon\u00edveis. Um analisador est\u00e1tico nunca conseguir\u00e1, em todos os casos, determinar coisas como, por exemplo, a ocorr\u00eancia de uma \u00abexce\u00e7\u00e3o de ponteiro nulo\u00bb em linguagens que permitem o valor nulo, ou em todos os casos determinar a ocorr\u00eancia de \u00abatributo n\u00e3o encontrado\u00bb em linguagens com tipagem din\u00e2mica. Tudo o que o analisador est\u00e1tico mais avan\u00e7ado pode fazer \u00e9 destacar casos particulares, cuja quantidade entre todos os poss\u00edveis problemas com seu c\u00f3digo-fonte \u00e9, sem exagero, uma gota no oceano.<\/p>\n

An\u00e1lise est\u00e1tica n\u00e3o \u00e9 busca de bugs<\/h2>\n

\nDo exposto, segue a conclus\u00e3o: an\u00e1lise est\u00e1tica n\u00e3o \u00e9 um meio de reduzir a quantidade de defeitos em um programa. Arrisco-me a afirmar: ao ser aplicado pela primeira vez em seu projeto, ele encontrar\u00e1 no c\u00f3digo 'pontos interessantes', mas, provavelmente, n\u00e3o encontrar\u00e1 nenhum defeito que afete a qualidade do funcionamento do seu programa.<\/p>\n

Os exemplos de defeitos encontrados automaticamente por analisadores s\u00e3o impressionantes, mas n\u00e3o se deve esquecer que esses exemplos foram encontrados por meio da varredura de um grande n\u00famero de grandes bases de c\u00f3digo. Da mesma forma, hackers que t\u00eam a capacidade de testar v\u00e1rias senhas simples em uma grande quantidade de contas eventualmente encontrar\u00e3o aquelas contas que t\u00eam senhas simples.<\/p>\n

Isso significa que a an\u00e1lise est\u00e1tica n\u00e3o deve ser aplicada? Claro que n\u00e3o! E exatamente pela mesma raz\u00e3o pela qual vale a pena verificar cada nova senha para ver se ela est\u00e1 na lista de 'senhas simples'.<\/p>\n

An\u00e1lise est\u00e1tica \u00e9 mais do que busca de bugs<\/h2>\n

\nNa verdade, as tarefas que podem ser resolvidas pela an\u00e1lise s\u00e3o muito mais amplas. Afinal, no geral, a an\u00e1lise est\u00e1tica \u00e9 qualquer verifica\u00e7\u00e3o de c\u00f3digo-fonte realizada antes de sua execu\u00e7\u00e3o. Aqui est\u00e3o algumas coisas que podem ser feitas:<\/p>\n