代码静态检测程序静态分析（Program Static Analysis）是指在不运行代码的方式下，通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。目前静态分析技术向模拟执行的技术发展以能够发现更多传统意义上动态测试才能发现的缺陷，例如符号执行、抽象解释、值依赖分析等等并采用数学约束求解工具进行路径约减或
转载
2023-07-05 23:09:43
0阅读
TscanCode介绍TscanCode 是腾讯研发的静态代码扫描工具，最早的版本是基于 cppcheck 二次开发。之后又重新自研，不仅支持 C++，还支持 C#，Lua 语言，在发掘 C++ 空指针、越界、未初始化、C#空引用、Lua变量未初始化等比较有效。TScanCode 比较适用于游戏开发代码扫描，有着不错的准确率和效率，其性能测试可以见：。 TscanCode 主要能够发现的问题如下：
一个很好用的静态代码扫描工具 360FireLine静态代码扫描工具有很多，Android Studio 自带的Lint，FindBugs，前两者生成的测试结果报告都是英文版的，对于英文不好的童鞋们来说简直就是煎熬，甚至失去了去追究bug的耐性；但是360作为国内的技术大厂，搞出来这个很好用的工具，生成的结果报告当然是中文了，这些工具bug定位都很准确，帮你把问题定位到某一行，并给出问题描述，空指
在StyleCop中有一些官方自己写好的检测规则，下面就是英文的解释：Documentation Rules 注释规则SA1600：ElementsMustBeDocumented元素必须添加注释SA1601: PartialElementsMustBeDocumented Partial修饰的成员必须添加注释SA1602：EnumerationItemsMustBeDocumented 枚举必须
门 概述今天介绍的插件主要是围绕编码规范的。有追求的程序员，往往都有代码洁癖，要尽量减少代码的「坏味道」。代码静态检查是有很多种类，例如圈复杂度、重复率等。业界提供了很多静态检查的插件来识别这些不合规的代码，帮助提高项目的质量。比较知名的一个产品是 SonarQube，它提供了一个「门禁」平台，集成了很多静态检查检查。下次有机会介绍一下该平台的搭建。本文主要介绍 IDEA 中对于 Java
静态代码扫描存在的价值 研发过程，发现BUG越晚，修复的成本越大 缺陷引入的大部分是在编码阶段，但发现的更多是在单元测试、集成测试、功能测试阶段 统计证明，在整个软件开发生命周期中，30% 至 70% 的代码逻辑设计和编码缺陷是可以通过静态代码分析来发现和修复的 以上三点证明了，静态代码扫描在整个安 ...
转载
2021-08-20 22:44:00
836阅读
2评论
1. why?开发 -> 测试(OA)sonarQube在OA测试之前的步骤,主要用于开发阶段把控代码质量:
a. 祖传级代码如何代码质量检测、优化、重构的标准.
b. 静态代码分析:
(1). 针对开发人员编写的源代码
(2). 在不运行的情况下,仅分析或检查源程序的语法、结构、过程、接口等的正确性,找出代码隐藏的错误和缺陷.2. what? feature?代码质量、安全扫描的分析平台.
1 Xcheck介绍 Xcheck是一个由腾讯公司CSIG质量部代码安全检查团队自研的静态应用安全测试(SAST，Static application security testing)工具，致力于挖掘代码中隐藏的安全风险，提升代码安全质量。Xcheck现已支持Golang、Java、Nodejs、PHP、Python 五种语言的安全检查，其他语言支持还在开发中。覆盖漏洞包括S
本文节选自霍格沃兹测试开发学社内部教材FindBugs 是一个 Java 项目的静态代码扫描工具，它支持的项目类型包括 Maven，Grade，Ant等，可以在不运行程序的前提下对软件进行潜在 Bug 的分析，帮助团队在程序运行之前就最大程度发现隐藏较深的问题，提示的内容包含真正的权限和潜在可能发生的错误问题；可以把它与持续集成工具 Jenkins 进行集成，这样就能在代码提交后自动对提交的代码进
1.FindBugs简介FindBugs是一个Java项目的静态代码扫描工具，它支持的项目类型包括Maven、Grade和Ant等，可以在不运行程序的前提下对软件进行潜在Bug的分析，帮助团队在程序运行之前就最大限度地发现隐藏较深的问题（Bug）,用FindBugs发现的问题（Bug）包含真正的缺陷和潜在发生的错误。可以把FindBugs持续集成工具Jenkins进行集成，在代码提交后自动对提交的
SonarQube社区版-免费适用语言：Java, C#, JavaScript, TypeScript, CloudFormation, Terraform, Kotlin, Ruby, Go, Scala, Flex, Python, PHP, HTML, CSS, XML and VB.NET下载安装 由于实际操作中，JDK版本的限制，8
# Android 静态扫描：概述与示例
在现代软件开发中，安全性是一个越来越受到重视的话题。特别是在移动应用开发领域，Android系统由于其广泛的用户基础，成为了攻击者的特定目标。为了提高应用的安全性，开发者通常需要使用静态分析工具对代码进行扫描，识别潜在的安全漏洞和性能问题。本文将带你了解Android静态扫描的基本概念，并通过代码示例加深理解。
## 什么是静态扫描？
静态扫描（St
介绍一些常用的静态代码扫描工具，由于我也是才使用，可能了解的不全面。另外，以下我说明的代码是使用C语言编写的。1 Flawfinder简介：在源代码中查找潜在的安全缺陷的软件。下载地址：Flawfinder Home Page (dwheeler.com)1）运行环境：Linux，如果要在Windows下使用需要使用Cygwin，Cygwin官网：https://cygwin.com/index.
【摘要】 Coverity是一款快速、准确且高度可扩展的静态分析 (SAST) 解决方案，可帮助开发和安全团队在软件开发生命周期 (SDLC) 的早期解决安全和质量缺陷，跟踪和管理整个应用组合的风险，并确保符合安全和编码标准。1. 概述Coverity是一款快速、准确且高度可扩展的静态分析 (SAST) 解决方案，可帮助开发和安全团队在软件开发生命周期 (SDLC) 的早期解决安全和质量缺陷，跟踪
提高代码的质量，除了要提高逻辑上的控制以及业务流程的理解外，代码本身也存在提高的空间，例如一些潜在的问题可以很早的就避免。类似于编码规范上的内容，如果全靠编码人员进行自行检查，那么无疑需要很大的工作量，如果可以使用代码的静态检查工具进行检查的话，那么将大大的提高编码的效率。本文是提高代码质量系列文章的第二篇，主要介绍了如何使用findbugs工具进行代码的自动化检查，以规避一些潜在的问题并找出代码
一、概述在软件开发过程中，开发团队往往要花费大量的时间和精力发现并修改代码缺陷。传统的代码评审、同事复审，通过人工方式来检查缺陷仍然是一件耗时耗力的事情。而静态代码扫描工具能够在代码构建过程中帮助开发人员快速、有效的定位代码缺陷并及时纠正这些潜在的问题。 通过调研，本文将着重介绍几款常用的静态代码扫描工具，这些工具分为几类： 轻量级静态代码扫描工具：Cppcheck、 Tscancode 插件嵌入
转载
2023-08-18 15:28:06
0阅读
Fortify 是一款由 Hewlett Packard Enterprise (HPE) 公司开发的源代码检测工具，Fortify可以检测代码中的安全漏洞和缺陷共900多种，它通过对应用程序的源代码进行静态分析，自动检测安全性漏洞及缺陷。Fortify支持多种编程语言，如 Java、C#、C/C++、Python、Ruby 等20多种语言。在使用
背景：我们在公司(好未来)内部开发了一套基于 SonarQube 的静态代码扫描服务，得益于 SonarQube 开源版本本身的功能，我们可以直接复用支持主流的编程语言，但 SonarQube 的开源版本并不支持 C/C++/ObjectiveC 等语言，所以我们尝试使用其他的工具去解决这个问题，最后我们选择了 Facebook 的 Infer 来解决这个问题，那么我们在这个过程中，开发了基于社区
一、简介TscanCode支持以下类型规则扫描：空指针检查，包含可疑的空指针；数据越界；内存泄漏，分配和释放不匹配；逻辑错误，重复的代码分支，bool类型和INT进行比较，表达式永远True或者false等共18类检查；可疑代码检查，if判断中含有可疑的=号；运算错误，判断无符号数小于0,对bool类型进行++自增等，共计11类检查。二、安装（linux环境）进入代码仓库：https://gith
转载
2023-07-20 22:31:40
216阅读
# Python静态代码扫描流程
## 1. 概述
静态代码扫描是指在不执行代码的情况下对代码进行分析，以发现潜在的编码错误、安全漏洞和代码质量问题。在Python开发中，静态代码扫描可以帮助开发人员快速发现潜在的问题，并提供改进代码质量的建议。
本文将向刚入行的开发者介绍如何使用静态代码扫描工具对Python代码进行检查。我们将使用名为"pylint"的工具来演示整个流程。
## 2. 静
