🥇PVS-Studio nu i Chocolatey: kontroll av Chocolatey från Azure DevOps

Vi fortsätter att göra användningen av PVS-Studio enklare. Nu är vår analysator tillgänglig i Chocolatey, en paketförvaltare för Windows. Vi tror att detta kommer att underlätta distributionen av PVS-Studio, särskilt i molntjänster. För att vara konkreta, låt oss kontrollera källkoden för just Chocolatey. Azure DevOps kommer att fungera som CI-system.

Här är en lista över våra andra artiklar om integration med molnsystem:

Jag rekommenderar att du kollar på den första artikeln om integration med Azure DevOps, eftersom vissa punkter har utelämnats i detta fall för att undvika duplicering.

Så, hjältarna i den här artikeln:

PVS-Studio — ett verktyg för statisk kodanalys som syftar till att identifiera fel och potentiella sårbarheter i program skrivna i språk som C, C++, C# och Java. Fungerar på 64-bitars system på Windows, Linux och macOS, och kan analysera kod avsedd för 32-bitars, 64-bitars och inbäddade ARM-plattformar. Om du provar statisk kodanalys för dina projekt för första gången, rekommenderar vi att du bekantar dig med artikeln hur snabbt se de mest intressanta varningarna från PVS-Studio och bedöma möjligheterna med detta verktyg.

Azure DevOps — en uppsättning molntjänster som täcker hela utvecklingsprocessen. Plattformen innehåller verktyg som Azure Pipelines, Azure Boards, Azure Artifacts, Azure Repos, Azure Test Plans, som alla syftar till att påskynda utvecklingen av mjukvara och förbättra dess kvalitet.

Chocolatey – en paketförvaltare för Windows med öppen källkod. Syftet med projektet är att automatisera hela livscykeln för mjukvara från installation till uppdatering och avinstallation i Windows-operativsystem.

Om användning av Chocolatey

Du kan se hur du installerar själva paketförvaltaren via den här länken. Fullständig dokumentation för installation av analysatorn finns i länken avsnittet "Installation med hjälp av paketförvaltaren Chocolatey". Låt mig kort upprepa några punkter därifrån.

Kommandot för att installera den senaste versionen av analysatorn:

choco install pvs-studio

Kommandot för att installera en specifik version av paketet PVS-Studio:

choco install pvs-studio --version=7.05.35617.2075

Som standard installeras endast kärnan av analyshanteraren - komponenten Core. Alla andra flaggor (Standalone, JavaCore, IDEA, MSVS2010, MSVS2012, MSVS2013, MSVS2015, MSVS2017, MSVS2019) kan överföras med hjälp av —package-parameters.

Exempel på ett kommando som installerar analyshanteraren med plugin för Visual Studio 2019:

choco install pvs-studio --package-parameters="'\/MSVS2019'"

Låt oss nu titta på ett exempel på hur analyshanteraren används bekvämt under Azure DevOps.

Inställning

Jag påminner om att det finns särskilda instruktioner om sådana saker som registrering av konto, skapande av Build Pipeline och synkronisering av kontot med projektet som ligger i ett repository på GitHub. artikeln. Vår inställning börjar direkt med att skriva en konfigurationsfil.

Först konfigurerar vi en trigger för att ange att vi endast kör kod för förändringar i master grenen:

trigger:
- master

Därefter behöver vi välja en virtuell maskin. För närvarande kommer detta att vara en Microsoft-hosted agent med Windows Server 2019 och Visual Studio 2019:

pool:
  vmImage: 'windows-latest'

Låt oss gå vidare till kroppen av konfigurationsfilen (block steps). Trots att vi inte kan installera valfri programvara på den virtuella maskinen har jag inte lagt till en Docker-container. Vi kan lägga till Chocolatey som en extension för Azure DevOps. För detta går vi till länken. Tryck på Get it free. Om du redan är inloggad väljer du helt enkelt ditt konto, annars gör vi allt samma efter inloggning.

Här behöver vi välja var vi ska lägga till extensionen och trycka på knappen Installera.

Efter en lyckad installation trycker vi på Proceed to organization:

Nu kan vi se mallen för Chocolatey-uppgiften i fönstret tasks när vi redigerar konfigurationsfilen azure-pipelines.yml:

Klicka på Chocolatey och se en lista med fält:

Här behöver vi välja install i fältet med kommandon. I Nuspec File Name anger vi namnet på det nödvändiga paketet - pvs-studio. Om du inte anger en version installeras den senaste, vilket vi är helt okej med. Klicka på knappen add och se det skapade uppdraget i konfigurationsfilen.

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

Låt oss gå vidare till huvuddelen av vår fil:

- task: CmdLine@2
  inputs:
    script:

Nu behöver vi skapa en fil med licensen för analyshanteraren. Här PVSNAME och PVSKEY är namnen på variablerna vars värden vi anger i inställningarna. De kommer att lagra inloggning och licensnyckel för PVS-Studio. För att ange deras värden öppnar vi menyn Variables->New variable. Vi skapar variabler PVSNAME för inloggning och PVSKEY för analysnyckeln. Kom ihåg att sätta en bock Håll detta värde hemligt för PVSKEY. Kommandokod:

call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" credentials 
–u $(PVSNAME) –n $(PVSKEY)

Vi samlar in projektet med hjälp av bat-filen som finns i repot:

call build.bat

Vi skapar en mapp där resultaten från analysatorn kommer att ligga:

call mkdir PVSTestResults

Vi startar analysen av projektet:

call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
–t .srcchocolatey.sln –o .PVSTestResultsChoco.plog

Vi konverterar vår rapport till html-format med hjälp av verktyget PlogConverter:

call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
–t html –o PVSTestResults .PVSTestResultsChoco.plog

Nu behöver vi skapa en uppgift för att kunna exportera rapporten.

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

Den fullständiga konfigurationsfilen ser ut så här:

trigger:
- master

pool:
  vmImage: 'windows-latest'

steps:
- task: ChocolateyCommand@0
  inputs:
    command: 'install'
    installPackageId: 'pvs-studio'

- task: CmdLine@2
  inputs:
    script: |
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      credentials –u $(PVSNAME) –n $(PVSKEY)
      call build.bat
      call mkdir PVSTestResults
      call "C:Program Files (x86)PVS-StudioPVS-Studio_Cmd.exe" 
      –t .srcchocolatey.sln –o .PVSTestResultsChoco.plog
      call "C:Program Files (x86)PVS-StudioPlogConverter.exe" 
      –t html –o .PVSTestResults .PVSTestResultsChoco.plog

- task: PublishBuildArtifacts@1
  inputs:
    pathToPublish: PVSTestResults
    artifactName: PVSTestResults
    condition: always()

Klicka Spara->Spara->Kör för att starta uppgiften. Vi exporterar rapporten genom att gå till uppgiftstabben.

Projektet Chocolatey innehåller totalt 37615 rader C#-kod. Låt oss titta på några av de funna felen.

Resultat av kontrollen

Varning N1

Analysatorns varning: V3005 Variabeln 'Provider' tilldelas sig själv. CrytpoHashProviderSpecs.cs 38

public abstract class CrytpoHashProviderSpecsBase : TinySpec
{
  ....
  protected CryptoHashProvider Provider;
  ....
  public override void Context()
  {
    Provider = Provider = new CryptoHashProvider(FileSystem.Object);
  }
}

Analysatorn har upptäckt att en variabel tilldelas sig själv, vilket är meningslöst. Det är troligt att en annan variabel borde stå på den platsen. Eller så är det ett skrivfel, och den överflödiga tilldelningen kan helt enkelt tas bort.

Varning N2

Analysatorns varning: V3093 [CWE-480] Operatorn '&' utvärderar båda operanderna. Kanske skulle en kortslutande '&&'-operator användas istället. Platform.cs 64

public static PlatformType get_platform()
{
  switch (Environment.OSVersion.Platform)
  {
    case PlatformID.MacOSX:
    {
      ....
    }
    case PlatformID.Unix:
    if(file_system.directory_exists("/Applications")
      & file_system.directory_exists("/System")
      & file_system.directory_exists("/Users")
      & file_system.directory_exists("/Volumes"))
      {
        return PlatformType.Mac;
      }
        else
          return PlatformType.Linux;
    default:
      return PlatformType.Windows;
  }
}

Skillnaden mellan operatorn & och operatorn && ligger i att om vänster del av uttrycket — false, kommer ändå den högra sidan att beräknas, vilket i det här fallet innebär onödiga metodanrop system.directory_exists.

I det undersökta fragmentet är detta ett litet misstag. Ja, detta villkor kan optimeras genom att byta ut & mot &&, men rent praktiskt påverkar det ingenting. Men i andra fall kan förvirringen mellan & och && orsaka allvarliga problem när den högra sidan av uttrycket arbetar med felaktiga/ogiltiga värden. Till exempel, i vår samling av fel, identifierade med hjälp av diagnostik V3093, finns det ett sådant fall:

if ((k < nct) & (s[k] != 0.0))

Även om indexet vågvektor är felaktigt, kommer det att användas för att få tillgång till elementet i arrayen. Som ett resultat kommer ett undantag att genereras IndexOutOfRangeException.

Varningar N3, N4

Analysatorns varning: V3022 [CWE-571] Uttrycket 'shortPrompt' är alltid sant. InteractivePrompt.cs 101
Analysatorns varning: V3022 [CWE-571] Uttrycket 'shortPrompt' är alltid sant. InteractivePrompt.cs 105

public static string 
prompt_for_confirmation(.... bool shortPrompt = false, ....)
{
  ....
  if (shortPrompt)
  {
    var choicePrompt = choice.is_equal_to(defaultChoice) //1
    ?
    shortPrompt //2
    ?
    "[[{0}]{1}]".format_with(choice.Substring(0, 1).ToUpperInvariant(), //3
    choice.Substring(1,choice.Length - 1))
    :
    "[{0}]".format_with(choice.ToUpperInvariant()) //0
    : 
    shortPrompt //4
    ? 
    "[{0}]{1}".format_with(choice.Substring(0,1).ToUpperInvariant(), //5
    choice.Substring(1,choice.Length - 1)) 
    :
    choice; //0
    ....
  }
  ....
}

I det här fallet finns det en underlig logik i hur den ternära operatorn fungerar. Låt oss titta närmare: om villkoret märkt med siffra 1 uppfylls, går vi vidare till villkor 2, vilket alltid true, och därför kommer rad 3 att exekveras. Om villkor 1 visar sig vara falskt, går vi istället till raden märkt med siffra 4, där villkoret även alltid true, och därför kommer rad 5 att exekveras. Därmed kommer villkoren som märkts med kommentar 0 aldrig att exekveras, vilket kanske inte är den logik som programmet är avsett att följa.

Varning N5

Analysatorns varning: V3123 [CWE-783] Kanske fungerar '?:' operatorn på ett annat sätt än förväntat. Dess prioritet är lägre än prioriteten för andra operatorer i sitt villkor. Options.cs 1019

private static string GetArgumentName (...., string description)
{
  string[] nameStart;
  if (maxIndex == 1)
  {
    nameStart = new string[]{"{0:", "{"};
  }
  else
  {
    nameStart = new string[]{"{" + index + ":"};
  }
  for (int i = 0; i = 0 && j != 0 ? description [j++ - 1] == '{' : false);
    ....
    return maxIndex == 1 ? "VALUE" : "VALUE" + (index + 1);
  }
}

Diagnostiken aktiverades på raden:

while (start >= 0 && j != 0 ? description [j++ - 1] == '{' : false)

Eftersom variabeln j en flera rader ovan initieras med noll, terneroperatorn kommer att returnera värdet false. På grund av detta kommer kroppens loop att köras endast en gång. Jag tror att denna kodfragment fungerar helt annorlunda än vad programmeraren avsåg.

Varning N6

Analysatorns varning: V3022 [CWE-571] Uttrycket ‘installedPackageVersions.Count != 1’ är alltid sant. NugetService.cs 1405

private void remove_nuget_cache_for_package(....)
{
  if (!config.AllVersions && installedPackageVersions.Count > 1)
  {
    const string allVersionsChoice = "Alla versioner";
    if (installedPackageVersions.Count != 1)
    {
      choices.Add(allVersionsChoice);
    }
    ....
  }
  ....
}

Här är en konstig inre villkor: installedPackageVersions.Count != 1, som alltid kommer att vara true. Ofta indikerar en sådan varning en logisk fel i koden, och i andra fall bara en överflödig kontroll.

Varning N7

Analysatorns varning: V3001 Det finns identiska deluttryck ‘commandArguments.contains("-apikey")’ till vänster och till höger om ‘||’ operatorn. ArgumentsUtility.cs 42

public static bool arguments_contain_sensitive_information(string
 commandArguments)
{
  return commandArguments.contains("-install-arguments-sensitive")
  || commandArguments.contains("-package-parameters-sensitive")
  || commandArguments.contains("apikey ")
  || commandArguments.contains("config ")
  || commandArguments.contains("push ")
  || commandArguments.contains("-p ")
  || commandArguments.contains("-p=")
  || commandArguments.contains("-password")
  || commandArguments.contains("-cp ")
  || commandArguments.contains("-cp=")
  || commandArguments.contains("-certpassword")
  || commandArguments.contains("-k ")
  || commandArguments.contains("-k=")
  || commandArguments.contains("-key ")
  || commandArguments.contains("-key=")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key")
  || commandArguments.contains("-apikey")
  || commandArguments.contains("-api-key");
}

Programmeraren som skrev denna kodsnutt kopierade de sista två raderna och glömde att redigera dem. Därför förlorade användarna av Chocolatey möjligheten att använda parameter apikey på ett par andra sätt. På samma sätt som ovanstående parametrar kan jag föreslå följande alternativ:

commandArguments.contains("-apikey=");
commandArguments.contains("-api-key=");

Copy-paste fel har stor chans att uppstå förr eller senare i alla projekt med mycket källkod, och ett av de bästa sätten att bekämpa dem är statisk analys.

P.S. Och som alltid tenderar detta fel att dyka upp i slutet av en flerlinesvillkor :). Se publikationen "Effekten av den sista raden".

Varning N8

Analysatorns varning: V3095 [CWE-476] ‘installedPackage’ objektet användes innan det verifierades mot null. Kontrollera rader: 910, 917. NugetService.cs 910

public virtual ConcurrentDictionary get_outdated(....)
{
  ....
  var pinnedPackageResult = outdatedPackages.GetOrAdd(
    packageName, 
    new PackageResult(installedPackage, 
                      _fileSystem.combine_paths(
                        ApplicationParameters.PackagesLocation, 
                        installedPackage.Id));
  ....
  if (   installedPackage != null
      && !string.IsNullOrWhiteSpace(installedPackage.Version.SpecialVersion) 
      && !config.UpgradeCommand.ExcludePrerelease)
  {
    ....
  }
  ....
}

Klassiskt fel: objektet används först installedPackage och kontrolleras sedan för null. Denna diagnos berättar för oss om ett av två problem i programmet: antingen installedPackage aldrig är lika med null, vilket är tvivelaktigt, och då är kontrollen överflödig, eller så kan vi potentiellt få ett allvarligt fel i koden – ett försök att få tillgång via en nullreferens.

Slutsats

Vi har nu gjort ytterligare ett litet steg – att använda PVS-Studio har blivit ännu enklare och bekvämare. Jag vill också säga att Chocolatey är en bra paketmanager med ett fåtal kodfel, som skulle kunna bli ännu färre med användning av PVS-Studio.

Vi bjuder in ladda ner och prova PVS-Studio. Regelbundet bruk av en statisk analysator kommer att höja kvaliteten och pålitligheten på koden som ditt team utvecklar och hjälpa till att förhindra många noll-dag sårbarheter.

P.S.

Innan publicering skickade vi artikeln till utvecklarna av Chocolatey, och de tog emot den väl. Inga kritiska problem hittades, men de gillade till exempel det fel vi upptäckte relaterat till nyckeln 'api-key'.

Om du vill dela denna artikel med en engelsktalande publik, vänligen använd länken till översättningen: Vladislav Stolyarov. PVS-Studio är nu i Chocolatey: Kontroll av Chocolatey under Azure DevOps.

Källa: habr.com

PVS-Studio finns nu i Chocolatey: kontroll av Chocolatey via Azure DevOps

Om användning av Chocolatey

Inställning

Resultat av kontrollen

Slutsats

P.S.