Как проверить программный код на ошибки

Чистота и качество кода — важные критерии оценки работы программиста. Если код работает — это уже хорошо, но нельзя забывать о том, что он должен быть очищен от «мусора», быть логичным и понятным для других разработчиков.

Выполняет статический анализ кода C / C ++ с использованием инструментов с открытым исходным кодом, таких как cppcheck и clang-tidy, и автоматически создает документацию по коду для пользователей, использующих doxygen. Этот инструмент можно использовать бесплатно.

Полный рабочий процесс для написания, проверки и развертывания кода, бесплатная учетная запись для 1 пользователя и 1 репозитория со 100 МБ хранилища.

Кроссбраузерное онлайн-тестирование. Предоставляет в ваше распоряжение любой IE от 5.5 до 9, а также последние версии Explorer, Opera, Chrome, Safari и Firefox.

Автоматическая проверка кода для PHP, Python, Ruby, Java, JavaScript, Scala, CSS и CoffeeScript, бесплатно для неограниченного количества общедоступных и частных репозиториев.

Автоматизированная инфраструктура как инструмент проверки кода для DevOps, интегрируется с GitHub, Bitbucket и GitLab (даже самостоятельно). Помимо стандартных языков, он анализирует также Ansible, Terraform, CloudFormation, Kubernetes и другие. Бесплатно с открытым исходным кодом.

Автоматическая проверка кода, бесплатная для Open Source и неограниченное количество частных репозиториев, принадлежащих организации (до 4 соавторов). Также бесплатно для студентов и учреждений.

Инструмент покрытия кода (SaaS), бесплатно с открытым исходным кодом и 1 частного репозитория.

Автоматическая проверка кода для Git. Бесплатная версия включает неограниченное количество пользователей, неограниченное количество публичных репозиториев и 1 частный репозиторий.

Отдает приоритет техническому долгу в зависимости от того, как разработчики работают с кодом, и визуализирует такие организационные факторы, как объединение команд и системное мастерство. Бесплатно с открытым исходным кодом.

Показывает какие части вашего кода не охватываются вашим набором тестов. Бесплатно для репозиториев с открытым исходным кодом. Версия Pro для частных репозиториев.

5 бесплатных отчетов по анализу веб-производительности, доступности и безопасности каждый месяц.

Находит ошибки уязвимости, безопасности, проблемы с производительностью и API на основе ИИ. Скорость анализа DeepCode позволяет анализировать ваш код в режиме реального времени и предоставлять результаты, когда вы нажимаете кнопку сохранения в своей среде IDE. Поддерживаемые языки: Java, C / C ++, JavaScript, Python и TypeScript. Бесплатно для открытых исходных кодов и частных репозиториев, бесплатно до 30 разработчиков.

Расширенный статический анализ для автоматического поиска ошибок времени выполнения в коде JavaScript, бесплатно для Open Source.

Анализирует изменения исходного кода, находит и исправляет проблемы, классифицируемые по следующим категориям: безопасность, производительность, анти-шаблоны, риски ошибок, документация и стиль.

Платформа № 1 для оптимизации баз данных. Получайте критически важную информацию о своей базе данных и SQL-запросах с помощью автоматической магии.

Оценка покрытия кода тестами для всех пакетов Go.

Отчеты и подробные рекомендации по оптимизации веб-сайтов.

Статический анализатор кода для оптимизации PostgreSQL. Служба автоматического обнаружения проблем с производительностью, безопасностью и архитектурой базы данных.

Комментирует проблемы качества и стиля кода, что позволяет вам и вашей команде лучше проверять и поддерживать чистую кодовую базу.

Дружелюбный робот, который оптимизирует ваши изображения и экономит ваше время. Оптимизированные изображения означают меньшие размеры файлов без ущерба для качества.

Бесплатный API, обеспечивающий оптимизацию изображений.

Непрерывный анализ безопасности для Java, Python, JavaScript, TypeScript, C #, C и C ++, бесплатно для Open Source.

Обзор кода для репозиториев GitHub, бесплатно для публичных или личных репозиториев.

Статический анализ кода для Java, C / C ++, C #, JavaScript, Ruby или Python, бесплатно для Open Source.

Лучший набор инструментов: от непрерывной интеграции и непрерывного анализа до расширения возможностей анализа человеческого кода с помощью интеллектуального кода.

Помогает командам инженеров максимизировать продуктивность, автоматически анализируя каждый запрос в соответствии с индивидуальными наборами правил для каждого проекта, а также с общими передовыми практиками.

Автоматический анализ исходного кода для Java, JavaScript, C / C ++, C #, VB.NET, PHP, Objective-C, Swift, Python, Groovy и других языков, бесплатно для Open Source.

Предоставляет метрики и аналитические данные на основе данных, собранных с GitHub и GitLab. Обеспечивает видимость на каждом этапе конвейера доставки в решении для данных и аналитики для инженерных команд.

Анализирует изменения, внесенные в каждый запрос на вытягивание, и улучшает опыт разработчиков при проверке кода. Бесплатно для открытого исходного кода и бесплатно для личного использования.

Спасибо за прочтение. Надеемся будет полезно. Если мы забыли упомянуть что-то важное или новое — пишите в комментарии.

Чистота и качество кода — важные критерии оценки работы программиста. Если код работает — это уже хорошо, но нельзя забывать о том, что он должен быть очищен от «мусора», быть логичным и понятным для других разработчиков. Ведь нередко работа одного программиста — это лишь часть кода крупной программной платформы, которую придется обслуживать в будущем. Скорее всего, другим людям. 

В компаниях ревью кода обычно проводят сеньоры. Но их время — дорогое. Если хотя бы частично избавить сеньора от этой нагрузки, он может стать гораздо эффективней для компании. Чтобы при этом сохранять качество кода на высоком уровне, стоит использовать онлайн-сервисы оценки готового кода. Эта статья поможет вам выбрать один или несколько таких инструментов. 

Reshift

Сервис, который помогает разработчикам ПО искать и ликвидировать уязвимости перед тем, как отправить результат своей работы в продакшн. У Reshift много положительных отзывов и, помимо поиска проблем в коде, он помогает соответствовать требованиям регуляторов в отношении разработки ПО.

Основные функции:

• Интеграция с Github и Bitbucket.
• Пул-реквесты без переключения на другие дашборды во избежание путаницы.
• Умная маркировка проблемных мест.
• Отслеживание уязвимостей в каждой ветке.
• Показ критических уязвимостей перед мерджем с главной веткой.

Collaborator

Один из наиболее продвинутых инструментов ревью кода. Подойдёт как для работы команд, так и для отдельных разработчиков.

Основные функции:

• Контроль за изменениями кода, определение проблем, создание комментариев.
• Создание правил и уведомлений на их основе.
• Кастомные поля, чеклисты, группы участников.
• Интеграция с 11 разными SCM и IDE, в том числе Eclipse и Visual Studio.
• Персонализированные ревью-отчеты.

Gerrit

Бесплатный онлайн-сервис проверки качества кода, который позволяет работать прямо в браузере, отклоняя или одобряя изменения. Сочетает в одной платформе багтрекер и инструмент ревью кода.

Основные функции:

• Интеграция с Git — возможность управления репозиториями Git через Gerrit.
• Настраиваемая иерархия кода.
• Добавление комментариев при внесении изменений.
• Система голосований по вносимым изменениям

Codestriker

Ещё один неплохой open-source инструмент для ревью кода. Онлайн-сервис Codestriker позволяет быстро найти проблемы в коде и улучшить общее его качество.

Основные функции:

• Фиксирование всех проблем, решений и комментариев в базе данных. Впоследствии к ней можно вернуться и посмотреть, что было сделано, какие изменения внесены.
• Интеграция с ClearCase, Bugzilla, CVS и не только

Crucible

Онлайн-приложение для ревью кода, поиска проблем, обсуждения изменений в отдельных ветках, шеринга данных и т.п. Crucible не бесплатный сервис. Есть две версии — для небольших команд и для корпораций. В первом случае нужно один раз заплатить $10, после чего становятся доступными безлимитные репозитории для 5 пользователей. Корпоративная версия стоит $1100, покупатель получает возможность открыть безлимитный репозиторий для 10 пользователей. Есть демо-доступ на 30 дней.

Основные функции:

• Совместная работа как 2-3 программистов, так и больших групп разработчиков.
• Возможность ревью кода как до, так и после внесения изменений.
• Совместимость с SVN, Perforce и CVS.

Review Board

Ещё один бесплатный open-source инструмент, который применяется для ревью кода и отдельных документов. Можно попробовать демо-версию на сайте разработчика или же установить инструмент его на своём сервере. Хорош он тем, что даёт возможность лоб в лоб сравнить две версии кода — с изменениями и без — через простой интерфейс.

Существует сервис уже около десяти лет, и всё это время его создатели продолжают совершенствовать Review Board, добавляя новые функции и улучшая существующие.

Основные функции:

• Простая интеграция в ClearCase, CVS, Perforce, Plastic.
• Выделение участков кода с проблемами или заданными параметрами.
• Возможность использовать инструмент для ревью кода как до, так и после внесения изменений.

GitHub

Наверное, нет разработчика, который бы не слышал о GitHub, но как автоматический ревьюер кода он известен гораздо меньше. Здесь у него есть две версии — бесплатная, с ограничением по количеству пользователей, и платная, от $7 в месяц.

В дополнение к обычным инструментам запроса на изменения, есть возможность проверят историю изменений, комментировать участки кода, разрешать простые конфликты при помощи веб-интерфейса. Кроме того, GitHub даёт возможность использовать и сторонние инструменты ревью кода.

Основные функции:

• Сравнение фрагментов кода лоб в лоб.
• Просмотр истории отдельных фрагментов кода без просмотра всего документа — так называемый blame view.
• Создание white-листов по отдельным веткам. 

Phabricator

Это целый набор open-source инструментов от Phacility, облегчающих работу по оценке кода. Можно использовать облачную версию, а можно загрузить всё на свой сервер. Если использовать второй вариант — ограничений нет. В случае же облачной версии нужно будет платить от $20 за пользователя в месяц. Верхняя планка  — $1000 в месяц. Все платные предложения включают техническую поддержку, плюс 30-дневный пробный режим.

Основные функции:

• Поддержка Git, Mercurial и SVN
• Встроенные чаты, канбан-доски и другие инструменты
• API для создания скриптов, взаимодействующих с Phabricator через HTTP JSON API

Rhodecode

Онлайн-инструмент, который поддерживает три версии систем контроля: Mercurial, Git и Subversion. Сервис не бесплатен. Цены начинаются с $8 в месяц за пользователя. Есть возможность заплатить сразу $75 за пользователя в год, что позволяет сэкономить пару десятков долларов. Если не хочется платить, можно загрузить community-edition, установив на своём сервере.

Основные функции:

• Визуальный лог изменений.
• Онлайн-редактор кода.
• Интеграция с существующими проектами.
• Возможность совместной работы как нескольких разработчиков, так и больших команд.

Завершая подборку, повторим: описанные инструменты для ревью кода не призваны полностью заменить человека. Но они позволяют ускорить проверку во много раз, что даёт возможность значительно экономить время и ресурсы.

А какими инструментами пользуетесь вы? Ждём комментариев, поделитесь с коллегами

From Wikipedia, the free encyclopedia

This is a list of notable tools for static program analysis (program analysis is a synonym for code analysis).

Static code analysis tools[edit]

Languages[edit]

Ada[edit]

This section is a sublist. Links here will take you to the full list on the top of this article.

• AdaControl
• Axivion Bauhaus Suite
• CodePeer
• ConQAT
• Fluctuat
• LDRA Testbed
• MALPAS
• Polyspace
• SofCheck Inspector
• Squore
• Understand

C, C++[edit]

This section is a sublist. Links here will take you to the full list on the top of this article.

• Astree
• BLAST
• Clang
• Coccinelle
• Coverity
• CPAchecker
• Cppcheck
• Cppdepend
• Cpplint
• ECLAIR
• Eclipse
• Fluctuat
• Frama-C
• GCC
• Helix QAC
• Facebook Infer
• Klocwork
• Lint
• LDRA Testbed
• Parasoft C/C++test
• PC-lint Plus
• Polyspace
• SLAM project
• Sparse
• SonarQube
• Splint
• Understand
• Visual Studio

C#[edit]

This section is a sublist. Links here will take you to the full list on the top of this article.

• Axivion Bauhaus Suite
• Code Dx
• CodeRush
• CodeScene
• CodeQL
• Coverity
• Kiuwan
• Klocwork
• .NET Compiler Platform
• PVS-Studio
• SonarQube
• Sotoarc
• StyleCop
• Squore
• Understand
• Visual Studio

Fortran[edit]

• Fortran-Lint^[14] (Information Processing Techniques, Inc)

IEC 61131-3[edit]

• CODESYS Static Analysis – integrated add-on for CODESYS (application code realized e.g. in ST, FBD, LD)

Java[edit]

This section is a sublist. Links here will take you to the full list on the top of this article.

• Coverity
• Facebook Infer
• Klocwork
• LDRA Testbed
• PMD
• RIPS
• Semgrep
• SourceMeter
• Understand

JavaScript[edit]

• ESLint – JavaScript syntax checker and formatter.
• Google’s Closure Compiler – JavaScript optimizer that rewrites code to be faster and smaller, and checks use of native JavaScript functions.
• JSHint – A community driven fork of JSLint.
• JSLint – JavaScript syntax checker and validator.
• Klocwork
• Semgrep – A static analysis tool that helps expressing code standards and surfacing bugs early. A CI service and a rule library is also available.
• Understand

Julia[edit]

• JET.jl
• StaticLint.jl (a linter for Visual Studio Code, i.e. its Julia extension, already included in it)

Objective-C, Objective-C++[edit]

• Clang – The free Clang project includes a static analyzer. As of version 3.2, this analyzer is included in Xcode.^[16]
• Infer – Developed by an engineering team at Facebook with open-source contributors. Targets null pointers, leaks, API usage and other lint checks. Available as open source on github.
• Understand

Opa[edit]

• Opa includes its own static analyzer. As the language is intended for web application development, the strongly statically typed compiler checks the validity of high-level types for web data, and prevents by default many vulnerabilities such as XSS attacks and database code injections.

Packaging[edit]

• Lintian – Checks Debian software packages for common inconsistencies and errors.
• Rpmlint – Checks for common problems in rpm packages.

Perl[edit]

• Perl::Critic – A tool to help enforce common Perl best practices. Most best practices are based on Damian Conway’s Perl Best Practices book.
• PerlTidy – Program that acts as a syntax checker and tester/enforcer for coding practices in Perl.
• Padre – An IDE for Perl that also provides static code analysis to check for common beginner errors.

PL/SQL[edit]

• TOAD – A PL/SQL development environment with a Code xPert component that reports on general code efficiency as well as specific programming issues.
• Visual Expert – A PL/SQL code analysis tool^[17] that reports on programming issues and helps understand and maintain complex code (Impact Analysis, Source Code documentation, Call trees, CRUD matrix, etc.).

PowerBuilder, PowerScript[edit]

• Visual Expert – A tool scanning PowerBuilder libraries (PBLs) for code inspection, Impact Analysis, Source Code documentation, Call trees, CRUD matrix.

Python[edit]

• PyCharm – Cross-platform Python IDE with code inspections available for analyzing code on-the-fly in the editor and bulk analysis of the whole project.
• PyDev – Eclipse-based Python IDE with code analysis available on-the-fly in the editor or at save time.
• Pylint – Static code analyzer. Quite stringent; includes many stylistic warnings as well.
• Klocwork
• Semgrep – Static code analyzer that helps expressing code standards and surfacing bugs early. A CI service and a rule library is also available.
• Understand

Transact-SQL[edit]

• Visual Expert – A SQLServer code analysis tool^[18] that reports on programming issues and helps understand and maintain complex code (Impact Analysis, source code documentation, call trees, CRUD matrix, etc.).

Tools with duplicate code detection[edit]

This section is a sublist. Links here will take you to the full list on the top of this article.

• Axivion Bauhaus Suite
• Code Dx
• CodeScene
• PMD
• SofCheck Inspector
• SonarQube
• SourceMeter
• Understand

Formal methods tools[edit]

Tools that use sound, i.e. over-approximating a rigorous model, formal methods approach to static analysis (e.g., using static program assertions). Sound methods contain no false negatives for bug-free programs, at least with regards to the idealized mathematical model they are based on (there is no «unconditional» soundness). Note that there is no guarantee they will report all bugs for buggy programs, they will report at least one.

• Astrée – finds all potential runtime errors by abstract interpretation, can prove the absence of runtime errors and can prove functional assertions; tailored towards safety-critical C code (e.g. avionics).
• CodePeer – Statically determines and documents pre- and post-conditions for Ada subprograms; statically checks preconditions at all call sites.
• ECLAIR – Uses formal methods-based static code analysis techniques such as abstract interpretation and model checking combined with constraint satisfaction techniques to detect or prove the absence of certain run time errors in source code.
• ESC/Java and ESC/Java2 – Based on Java Modeling Language, an enriched version of Java
• Frama-C – An open-source analysis framework for C, based on the ANSI/ISO C Specification Language (ACSL). Its main techniques include abstract interpretation, deductive verification and runtime monitoring.
• KeY – analysis platform for Java based on theorem proving with specifications in the Java Modeling Language; can generate test cases as counterexamples; stand-alone GUI or Eclipse integration
• MALPAS – A formal methods tool that uses directed graphs and regular algebra to prove that software under analysis correctly meets its mathematical specification.
• Polyspace – Uses abstract interpretation, a formal methods based technique,^[19] to detect and prove the absence of certain run time errors in source code for C/C++, and Ada
• SPARK Toolset including the SPARK Examiner – Based on the SPARK language, a subset of Ada.

See also[edit]

• Automated code review
• Best Coding Practices
• List of software development philosophies
• Dynamic program analysis
• Software metrics
• Integrated development environment (IDE) and comparison of integrated development environments. IDEs will usually come with built-in support for static program analysis, or with an option to integrate such support. Eclipse offers such integration mechanism for most different types of extensions (plug-ins).

References[edit]

External links[edit]

• The Web Application Security Consortium’s Static Code Analysis Tool List
• Java Static Checkers at Curlie
• SAMATE-Source Code Security Analyzers
• SATE – Static Analysis Tool Exposition
• «A Comparison of Bug Finding Tools for Java», by Nick Rutar, Christian Almazan, and Jeff Foster, University of Maryland. Compares Bandera, ESC/Java 2, FindBugs, JLint, and PMD.
• «Mini-review of Java Bug Finders», by Rick Jelliffe, O’Reilly Media.

Правильно работающий код – это уже прекрасно, но не нужно забывать, что вы должны еще чистить его от “мусора” и делать максимально понятным для тех разработчиков, которые будут задействованы в обслуживании в дальнейшем.

Обычно ревью кода в крупных компаниях делают сеньоры. Но это дорого и неэффективно. Альтернативный вариант – пользоваться онлайн-сервисами, которые дают оценку готовому коду. Если вы хотите выбрать для себя один из таких инструментов, читайте обзоры в статье.

Reshift

Этот сервис дает разработчикам ПО возможность находить и устранять уязвимости до того, как отправлять конечный вариант своего кода в продакшн. 

Reshift получил большое количество положительных отзывов. Кроме поиска проблем сервис также помогает соблюдать требования регуляторов, касающиеся разработки программного обеспечения.

Основной функционал:

• Интеграция с крупнейшими веб-сервисами для хостинга проектов Github и Bitbucket.
• Pull request’ы без необходимости переключаться между дашбордами для избежания путаницы.
• Анализ каждой ветки на наличие уязвимостей.
• Умная маркировка ошибок и проблемных мест.
• Демонстрация критических уязвимостей до слияния веток.

Collaborator

Данная система относится к одним из самых продвинутых инструментов рецензирования кода. Подходит и отдельным разработчикам, и тем, кто работает в команде.

Основной функционал:

• Контролирование внесенных в код изменений, обнаружение проблем и написание комментариев.
• Разработка правил и создание уведомлений, основанных на этих правилах.
• Наличие кастомных полей, контрольных списков и группы участников.
• Персонализированные отчеты.
• Интеграция с одиннадцатью различными средами, включая Visual Studio.

Codestriker

Достаточно неплохой ревью-инструмент с открытым исходным кодом. Дает возможность быстро отыскивать проблемы и повышать качество кода.

Основной функционал:

• Фиксирование обнаруженных проблем и решений (с комментариями) в БД. В дальнейшем к базе можно возвратиться и просмотреть все внесенные изменения.
• Совместимость с системами ClearCase, Bugzilla и др.

Gerrit

С помощью онлайн-сервиса Gerrit можно бесплатно проверить код просто в браузере, в процессе отклоняя или принимая изменения. Сочетает в себе багтрекер и код-ревью инструмент.

Основной функционал:

• Совместимость с Git.
• Возможность настроить иерархию кода.
• Создание комментариев для внесенных изменений.
• Система голосований о правках.

Crucible

Приложение, которое в онлайн-режиме позволяет делать ревью кода, находить проблемы, обсуждать изменения в каждой отдельной ветке, осуществлять шеринг данных и пр. Это платный сервис с двумя версиями: для маленьких команд и крупных корпораций. Первая стоит 10 долларов и предоставляет безлимитные репозитории на пятерых пользователей. Стоимость корпоративной версии составляет 1100 долларов и включает безлимитный репозиторий на десятерых пользователей. Существует также демо-доступ – он дается на 30 суток.

Основной функционал:

• Взаимодействие как нескольких программистов, так и многочисленных групп разработчиков.
• Возможность ревизии кода как до правок, так и после них.
• Интегрирование с Subversion, P4 и CVS.

GitHub

Каждый разработчик знает, что такое GitHub. Но что этот сервис может делать автоматическую проверку кода, известно далеко не всем. В данном плане имеется 2 версии: бесплатная с ограниченным числом пользователей и платная, стоимостью 7 долларов в месяц.

Помимо стандартных инструментов здесь можно просматривать историю изменений, оставлять к участкам кода комментарии и с помощью веб-интерфейса решать простые конфликты. Также GitHub позволяет применять и сторонние аналогичные ревью-инструменты.

Основной функционал:

• Лобовое сравнение фрагментов.
• Blame view – просмотр истории единичных фрагментов кода, не просматривая документ полностью.
• Формирование white-листов для отдельных веток. 

Review Board

Этому сервису уже около 10 лет, тем не менее, он продолжает развиваться и совершенствоваться. Проект бесплатный, можно испытать демо на официальном сайте или установить Review Board на собственном сервере. Большой плюс инструмента в том, что он позволяет напрямую сравнивать 2 версии кода: до изменений и после. К тому же не может не радовать простой интерфейс. 

Основной функционал:

• Совместимость с Plastic, P4, CVS и ClearCase.
• Выделение проблемных участков кода или фрагментов по заданным параметрам.
• Осуществление проверки кода до внесения изменений и после.

Rhodecode

Платный сервис с поддержкой Mercurial, Git, а также Subversion. Стартовая цена – 8 долларов в месяц для каждого пользователя. Можно оплатить сразу весь год, так будет экономнее, потому что цена составит 75 долларов. Те, кто не хочет тратить деньги, могут скачать community-edition и установить ее на собственном сервере.

Основной функционал:

• Визуальный журнал изменений.
• Online-редактор кода.
• Возможность интеграции с уже созданными проектами.
• Совместной работа группы разработчиков: как нескольких человек, так и многочисленных команд.

Phabricator

Очередной набор инструментов с открытым исходным кодом, которые облегчают процесс code review. Есть облачная версия, но она с ограничениями, стоит 20 долларов в месяц. Цена полной версии достигает 1000 долларов в месяц (есть несколько и более дешевых предложений). Все платные продукты включают техподдержку и 30-дневный демо-режим. 

Основной функционал:

• Совместимость с Git, Mercurial и Subversion.
• Наличие встроенных чатов, Kanban доска и пр.
• API для написания скриптов, которые взаимодействуют с системой посредством JSON API.

В завершение

В статье описаны очень полезные инструменты для проверки кода, но они не способны стать полноценной заменой человека. Тем не менее, эти сервисы в несколько раз ускоряют проверку, а значит, позволяют существенно экономить ресурсы, в том числе самый главный и дорогой – время.