Seznam nástrojů pro statickou analýzu kódu - List of tools for static code analysis

Toto je seznam nástrojů pro statická analýza kódu.

Jazyk

Vícejazyčný

NástrojPoslední vydáníSvobodný softwareČíslo cyklomatické složitostiDuplikát
kód		Poznámky
Apache YetusSbírka nástrojů pro sestavení a vydání. Zahrnutý je modul „precommit“, který se používá k provádění úplných a částečných / opravných sestavení CI, který poskytuje statickou analýzu kódu prostřednictvím jiných nástrojů s otevřeným zdrojovým kódem jako součást konfigurovatelné zprávy. Integrovaná podpora pro C, C ++, Java, Perl, Python, Ruby, Shell a XML. Lze rozšířit prostřednictvím rozhraní plug-in.
Apartmá Axivion BauhausSada nástrojů pro analýzu statického kódu pro kód Ada, C, C ++, C # a Java, která provádí různé analýzy, jako je kontrola architektury, analýzy rozhraní, MISRA kontrola a detekce klonů.
Kód DxSystém korelace a správy zranitelnosti softwarových aplikací, který konsoliduje a normalizuje zranitelnosti softwaru zjištěné více statický testování bezpečnosti aplikací (SAST) a dynamický nástroje pro testování zabezpečení aplikací (DAST) a výsledky manuálních kontrol kódu. Podporuje C, C ++, C #, Java, JavaScript, JSP, PHP, Python, Rails, Ruby, Scala, VB.NET a XML / XSL.[1]
CodeSceneAnalýza kódu chování založená na datech kontroly revizí. Dokáže analyzovat jakoukoli základnu kódu a podporuje rentgen (nebo analýzu na úrovni metod) pro C, C ++, C #, Java, Groovy, JavaScript, TypeScript, Objective-C, Scala, Python, Swift, Go, Visual Basic .Net, PHP a Ruby.
ConQATSouprava nástrojů pro průběžné hodnocení kvality, která umožňuje flexibilní konfiguraci analýz kvality (shoda architektury, detekce klonů, metriky kvality atd.) A řídicích panelů. Podporuje Java, C #, C ++, JavaScript, ABAP, Ada a mnoho dalších jazyků.
KrytíNástroj statické analýzy pro C, C ++, C #, Objective-C, Java, Javascript, node.JS, Ruby, PHP a Python.
GrammaTech CodeSonarDetekce defektů (přetečení vyrovnávací paměti, úniky paměti atd.), Kontroly souběžnosti a zabezpečení, vizualizace architektury a softwarové metriky pro zdrojový kód C, C ++, Objective-C a Java.
HCL Security AppScan
Zdrojová edice
(dříve známý jako IBM Rational AppScan)		Analyzuje zdrojový kód k identifikaci slabých míst zabezpečení a zároveň integruje testování zabezpečení s procesy a systémy vývoje softwaru. Podporuje C, C ++, .NET, Java, JSP, JavaScript, ColdFusion, Classic ASP, PHP, Perl, Visual Basic 6, PL / SQL, Python, T-SQL a COBOL
Facebook odvoditNástroj pro Java, C, C ++ a Objective-C. Cílí problémy s nulovým ukazatelem, úniky, problémy se souběžností a využití API pro mobilní aplikace Facebooku. K dispozici jako otevřený zdroj na github.
Imagix 4DC, C ++ a Java. Verze pro Windows a Linux.
KiuwanKompletní platforma softwarové analýzy pro statickou analýzu kódu a automatickou kontrolu kódu. Pokrývá detekci defektů, zabezpečení aplikací a řízení rizik IT s vylepšenými funkcemi životního cyklu a správy aplikací. Podpora více než 20 jazyků, včetně Cíl-C, Jáva, JSP, JavaScript, PHP, C, C ++, ABAP, COBOL, JCL, C#, PL / SQL, Transact-SQL, SQL, Visual Basic, Visual Basic .NET, Android (operační systém).
KlocworkPoskytuje chybu zabezpečení, dodržování norem (MISRA, ISO 26262 a další), detekce defektů a analýza trendů build-over-build pro C, C ++, C #, Java.
LintJak je součástí dodávky Android SDK.
Testovací lože LDRASada softwarových nástrojů pro analýzu a testování pro C, C ++, Ada83, Ada95 a Assembler (Intel, Freescale, Texas Instruments).
MALPASSada nástrojů pro statickou analýzu softwaru pro různé jazyky, včetně Ada, C, Pascal a Assembler (Intel, PowerPC a Motorola). Používá se především pro bezpečnostní aplikace v jaderném a leteckém a kosmickém průmyslu.
Micro FocusEnterprise Analyzer a COBOL Analyzer. Nástroje pro statickou analýzu a vizualizaci kódu pro starší a mainframové aplikace. Analyzujte kód v různých jazycích, včetně COBOL, PL / I, Natural, RPG, Java, Assembler, Easytrieve, VB, C / C ++, PL / SQL, C #, VB.NET, KornShell, plánovače úloh a další.
LosMoose začínal jako platforma pro softwarovou analýzu s mnoha nástroji pro manipulaci, hodnocení nebo vizualizaci softwaru. Může se vyvinout v obecnější platformu pro analýzu dat. Podporované jazyky jsou C, C ++, Java, Smalltalk, .NET, lze přidat další.
PMD Detektor kopírování / vkládání (CPD)duplicitní kód detekce pro (např.) Jáva, JSP, C, C ++, Studená fúze, PHP a JavaScript[2] kód.
PolyprostorPoužití abstraktní interpretace zjistit a dokázat nepřítomnost určitých chyby za běhu v zdrojový kód pro C, C ++ a Ada
Docela rozdílSpecifický pro jazyk porovnání kódu nástroj, který kromě specifických jazyků obsahuje i zprávy o analýze specifické pro jazyk minifikace a zkrášlování algoritmy.
PVS-StudioSoftwarový analytický nástroj pro C, C ++, C ++ / CLI, C ++ / CX (rozšíření komponent), C #, Java.
RIPYŘešení statické analýzy kódu pro PHP, Java a Node.js s mnoha možnostmi integrace pro automatickou detekci komplexních bezpečnostních slabin.
SideCINástroj pro automatickou kontrolu kódu založený na statické analýze kódu pro Ruby, Python, PHP, JavaScript, CoffeeScript a Go. Kontroluje styl, kvalitu, závislosti, zabezpečení a chyby.
Inspektor SofCheckStatická detekce logických chyb, podmínky závodu, a nadbytečný kód pro Ada a Jáva; automaticky extrahuje před -dodatečné podmínky z kódu.
SonarQubeKontinuální kontrolní modul, který vyhledává zranitelná místa, chyby a vůně kódu. Sleduje také složitost kódu, pokrytí testem jednotky a duplikaci. Podporované jazyky: ABAP, Apex, C, C #, C ++, CSS, COBOL, Flex, Go, HTML, Java, JavaScript, Kotlin, Objective-C, PHP, PLI, PL / SQL, Python, Ruby, Scala, Swift, TSQL , TypeScript, VB.net, Visual Basic 6, XML.
Sotoarc -SotografArchitektura a kvalitní hloubková analýza a monitorování pro C, C ++, C #, Java, ABAP.
SourceMeterPatentovaný analyzátor statického zdrojového kódu nezávislý na platformě, příkazový řádek pro Java, C, C ++, RPG IV (AS / 400) a Python.
SQuOREVíceúčelový a vícejazyčný monitorovací nástroj[3] pro softwarové projekty.
RozumětMultiplatformní nástroj pro analýzu kódu a porozumění velkým kódovým základnám. Mezi podporované jazyky patří Ada, Cobol, Ansi C, K&R C, Ansi C ++, C #, FORTRAN, Java, Jovial, Pascal, PL / M, Python, VHDL, Objective C, Objective C ++, HTML, PHP, JavaScript a XML.
YascaYet Another Source Code Analyzer, plugin-based framework to scan arbitrary file types, with plugins for C, C ++, Java, JavaScript, ASP, PHP, HTML-CSS, ColdFusion, COBOL a další typy souborů. Integruje se s dalšími skenery, včetně FindBugs, PMD a Pixy.

.SÍŤ

NástrojPoslední vydáníSvobodný softwareČíslo cyklomatické složitostiDuplikát
kód		Poznámky
Platforma .NET Compiler
(Krycí jméno Roslyn)		Open-source kompilátorový rámec pro C# a Visual Basic .NET vyvinutý uživatelem Microsoft .SÍŤ. Poskytuje API pro analýzu a manipulaci se syntaxí.
CodeIt.RightKombinuje statickou analýzu kódu a automatické refaktorování s osvědčenými postupy, které umožňují automatickou opravu chyb a porušení kódu; podporuje C # a VB.NET.
CodeRushPlugin pro Vizuální studio který upozorňuje uživatele na porušení osvědčených postupů.
FxCopStatická analýza zdarma pro programy Microsoft .NET, které se kompilují CIL. Samostatný a v některých integrovaný Microsoft Visual Studio edice; od společnosti Microsoft.
NDependZjednodušuje správu složité .NET kódové základny analýzou a vizualizací závislostí kódu, definováním pravidel návrhu, provedením analýzy dopadů a porovnáním různých verzí kódu. Integruje do Vizuální studio.
StyleCopAnalyzuje zdrojový kód C # za účelem vynucení sady pravidel stylu a konzistence. Může být spuštěn zevnitř Microsoft Visual Studio nebo integrované do MSBuild projekt.

Ada

NástrojPoslední vydáníSvobodný softwareČíslo cyklomatické složitostiDuplikát
kód		Poznámky
AdaControlNástroj pro řízení výskytu různých entit nebo programovacích vzorů v kódu Ada, který se používá ke kontrole kódovacích standardů, vynucování pravidel souvisejících s bezpečností a podpoře různých ručních inspekcí. Obsahuje automatické řešení porušení.
CodePeerPokročilý nástroj statické analýzy, který detekuje potenciální běhové logické chyby v programech Ada.
FluctuatAbstraktní tlumočník pro ověření numerických vlastností programů.
Testovací lože LDRASada nástrojů pro analýzu a testování softwaru pro Ada83 / 95.
PolyprostorPoužití abstraktní interpretace zjistit a dokázat nepřítomnost určitých chyby za běhu v zdrojový kód.
Inspektor SofCheck

(Koupil AdaCore )

Statická detekce logických chyb, podmínky závodu a nadbytečný kód pro Adu; automaticky extrahuje před -dodatečné podmínky z kódu.
Sada nástrojů SPARKOvěřovací nástroje pro SPARK 2014 - podmnožina Ada 2012, která využívá podporu Ada pro smlouvy. Navrženo tak, aby poskytovalo spolehlivost, hloubku, modularitu a účinnost ověřování.

C, C ++

NástrojPoslední vydáníSvobodný softwareČíslo cyklomatické složitostiDuplikát
kód		Poznámky
AstréeNe; Proprietárnínajde veškerý potenciál runtime chyby a datové závody abstraktní interpretace, mohou prokázat svou nepřítomnost a mohou prokázat funkční tvrzení; na míru C-kódu kritickému z hlediska bezpečnosti (např. avionika a automobilový průmysl). Zahrnuje MISRA kontrolu.
VÝBUCH - Berkeley Lazy Abstraction Software Verification Tool (v důchodu)2.7.2AnoKontrola modelu softwaru s otevřeným zdrojovým kódem pro programy C založená na líné abstrakci (následný projekt je CPAchecker.[4]).
Zvonit10.0.0AnoKompilátor open-source, který obsahuje statický analyzátor.
Coccinelle1.0.7AnoShoda a transformace vzoru zdrojového kódu open-source.
Krytí2019.12[5]Ne; ProprietárníNástroj statické analýzy pro C / C ++.
CPAcheckerAno; Licence Apache 2Nástroj pro kontrolu cesty provedení C.
Cppcheck2.2Ano;GPLNeNeOpen-source nástroj, který kontroluje několik typů chyb, včetně použití STL.
Cppdepend2019.1Ne; proprietárníZjednodušuje správu složité kódové základny C / C ++ analýzou a vizualizací závislostí kódu, definováním pravidel návrhu, provedením analýzy dopadů a porovnáním různých verzí kódu.
cpplintAnoNástroj s otevřeným zdrojovým kódem, který kontroluje soulad s průvodcem stylem Google pro kódování C ++.
ECLAIRNe; ProprietárníPlatforma pro automatickou analýzu, ověřování, testování a transformaci programů C a C ++.
ZatměníAnoOpen-source IDE, který obsahuje statický analyzátor kódu.
FluctuatNe; ProprietárníAbstraktní tlumočník pro ověření numerických vlastností programů.
Frama-CAnoRozšiřitelný rámec pro analýzu open-source pro C s několika analyzátory a specifikačním jazykem společným pro všechny z nich. Zahrnuje analýzy založené na abstraktním výkladu, deduktivním ověření a monitorování běhového prostředí.
Helix QAC2020.1Dříve PRQA QA · C a QA · C ++, hluboká statická analýza C / C ++ pro zajištění kvality a prosazování standardů směrnic / kódování s podporou MISRA.
UsouditAnoVyvinuto technickým týmem na Facebooku s přispěvateli open-source. Zaměřuje nulový ukazatel a další problémy s pamětí. K dispozici jako open-source na github.
LintPůvodní analyzátor statického kódu z roku 1978 pro C.
Testovací lože LDRAv9.8.1
(2019-07-30)		Sada softwarových nástrojů pro analýzu a testování pro C / C ++, která provádí statickou analýzu, vynucování standardů (např. MISRA C / C ++), dynamickou analýzu, testování jednotek a sledovatelnost požadavků.
Test Parasoft C / C ++10.4.2Ne; ProprietárníNástroj C / C ++, který provádí statickou analýzu, testování jednotek, kontrolu kódu a detekci chyb za běhu; dostupné pluginy pro Vizuální studio a Zatmění - založené IDE.
PC-LintNeSoftwarový analytický nástroj pro C s částečnou podporou pro C ++ 2011.
PolyprostorNePoužití abstraktní interpretace zjistit a prokázat nepřítomnost chyby za běhu, Mrtvý kód v zdrojový kód a také se používá ke kontrole všech pravidel MISRA (2004, 2012) (směrnice, jiné než směrnice).
SLAM projektprojekt Microsoft Research pro kontrolu, zda software splňuje kritické vlastnosti chování rozhraní, která používá.
ŘídkéAnoOpen-source nástroj určený k hledání poruch v Linux jádro.
SonarQube8.1NeAnoAnoOpen-source nástroj, který nabízí podporu C / C ++ prostřednictvím komerční licence
Dlaha3.1.2AnoNástroj typu open-source, který staticky kontroluje bezpečnostní programy a chyby v programování v programech C.
Vizuální studioNeIDE, které poskytuje statickou analýzu kódu pro C / C ++ jak v prostředí editoru, tak z příkazového řádku kompilátoru.

Fortran

  • Fortran -Lint[6] (Information Processing Techniques, Inc)

IEC 61131-3

  • CODESYS Static Analysis - integrovaný doplněk pro CODESYS (aplikační kód realizovaný např. v ST, FBD, LD)

Jáva

NástrojPoslední vydáníSvobodný softwareDuplikát
kód		Poznámky
Checkstyle2020-01-26Ano;LGPLNeKromě některé statické analýzy kódu lze použít k ukázání porušení nakonfigurovaného standardu kódování. Detekce duplicitního kódu byla odstraněna[7] od Checkstyle.
Krytí2017-01-19Ne; ProprietárníCoverity je platforma statické analýzy a testování statických aplikací (SAST), která vyhledává kritické vady a slabé stránky zabezpečení v kódu tak, jak je psán, než se stanou zranitelnými místy, zhrouceními nebo bolestmi hlavy při údržbě.
Zatmění2017-06-28Ano; EPLNeCross-platform IDE s vlastní sadou několika stovek inspekcí kódu k dispozici pro analýzu kódu on-the-fly v editoru a hromadnou analýzu celého projektu. Pluginy pro Checkstyle, FindBugs a PMD.
FindBugs2015-03-06Ano; LGPLNa základě Jakarta BCEL z University of Maryland. SpotBugs je duchovním nástupcem FindBugs, pokračuje od bodu, kde přestal, s podporou své komunity.
Usoudit2017-10-19Ano;BSD s dalšími
doložka o patentu		Vyvinuto technickým týmem na Facebooku s přispěvateli open-source. Zaměřuje výjimky nulového ukazatele, úniky a problémy s bezpečností podprocesů.
IntelliJ IDEA2017-11-30Ano; ASL 2AnoPřední prostředí Java IDE s integrovanou kontrolou a analýzou kódu. Pluginy pro Checkstyle, FindBugs a PMD.
JArchitect2017-06-11Ne; ProprietárníZjednodušuje správu složité kódové základny analýzou a vizualizací závislostí kódu, definováním pravidel návrhu, provedením analýzy dopadů a porovnáním různých verzí kódu.
Jtest2019-05-21Ne; ProprietárníAnoProdukt pro testování a analýzu statického kódu pomocí Parasoft.
Testovací lože LDRANe; ProprietárníSada nástrojů pro analýzu a testování.
PMD2020-10-24Ano;BSD, ASL 2, LGPLAnoAnalyzátor zdrojového kódu založený na statických pravidlech, který identifikuje potenciální problémy.
RIPY2019-01-07Ne; ProprietárníJazykově specifické řešení analýzy zdrojového kódu s mnoha možnostmi integrace pro přesnou detekci složitých problémů se zabezpečením a kvalitou.
SemmleCodeNe; ProprietárníObjektově orientované dotazy na kód pro statickou analýzu programu.
Saze2020-10-28Ano; LGPLRámec pro manipulaci a optimalizaci jazyků sestávající z přechodných jazyků.
Squale2011-05-26Ano; LGPLPlatforma pro správu kvality softwaru.
SourceMeter2016-02-01Ne; ProprietárníAnoAnalyzátor statického zdrojového kódu nezávislý na platformě, příkazový řádek.
ThreadSafe2014-03-28Ne; ProprietárníNástroj statické analýzy zaměřený na hledání chyb souběžnosti.

JavaScript

Cíl-C, Objective-C ++

  • Zvonit - Bezplatný projekt Clang zahrnuje statický analyzátor. Od verze 3.2 je tento analyzátor součástí Xcode.[8]
  • Usoudit - Vyvinuto inženýrským týmem na Facebooku s přispěvateli open-source. Cílí na nulové ukazatele, netěsnosti, použití API a další kontroly vláken. K dispozici jako otevřený zdroj na github.

Opa

  • Opa obsahuje vlastní statický analyzátor. Protože je jazyk určen pro vývoj webových aplikací, kompilátor se silným statickým typem kontroluje platnost typů na vysoké úrovni pro webová data a ve výchozím nastavení brání mnoha zranitelnostem, jako je například XSS útoky a vkládání databázových kódů.

Obal

  • Lintian - Zkontroluje, zda softwarové balíčky Debianu neobsahují běžné nesrovnalosti a chyby.
  • Rpmlint - Zkontroluje běžné problémy v rpm balíčcích.

Perl

  • Perl :: kritik - Nástroj, který pomáhá prosazovat běžné osvědčené postupy Perlu. Většina osvědčených postupů je založena na Damian Conway je Osvědčené postupy Perlu rezervovat.
  • PerlTidy - Program, který funguje jako kontrola syntaxe a tester / vymahač pro postupy kódování v Perlu.
  • Padre - IDE pro Perl, který také poskytuje statickou analýzu kódu pro kontrolu běžných chyb začátečníků.

PL / SQL

Krajta

  • PyCharm - Cross-platform Python IDE s kontrolou kódu k dispozici pro analýzu kódu on-the-fly v editoru a hromadnou analýzu celého projektu.
  • PyDev - IDE Pythonu založené na Eclipse s analýzou kódu k dispozici on-the-fly v editoru nebo v úsporném čase.
  • Pylint - Statický analyzátor kódu. Docela přísné; zahrnuje také mnoho stylistických varování.

Transact-SQL

Nástroje formálních metod

Nástroje, které používají zvuk, tj. přehnaně aproximovat přísný model, formální metody přístup ke statické analýze (např. pomocí statické tvrzení programu ). Zvukové metody neobsahují žádné falešné negativy pro bezchybné programy, alespoň s ohledem na idealizovaný matematický model, na kterém jsou založeny (neexistuje „bezpodmínečná“ spolehlivost). Upozorňujeme, že neexistuje žádná záruka, že budou hlásit Všechno chyby pro buggy programy, budou hlásit alespoň jeden.

Viz také

Reference

  1. ^ „Podporované nástroje a jazyky pro testování zabezpečení aplikací“. codedx.com. Citováno 25. dubna 2017.
  2. ^ „PMD - Procházet /pmd/5.0.0 na SourceForge.net“. Citováno 9. prosince 2012.
  3. ^ Baldassari, Boris (2012). „SQuORE: nový přístup k hodnocení softwarových projektů“[trvalý mrtvý odkaz ], Mezinárodní konference o softwarovém a systémovém inženýrství a jejich aplikacích, listopad 2012, Paříž, Francie.
  4. ^ „CPAchecker“. 2015-02-08.
  5. ^ „Komunita zákazníků SIG“. community.synopsys.com. Citováno 2020-02-06.
  6. ^ Lint pro FortranDenis W. Haskin (2. května 1988). "Setřesení vašich programů FORTRAN". Digitální recenze. 41–47. podobně jako Analyzátor zdrojových kódů DEC, .. vstupuje do hry mnohem dříve .. než uživatelé sestaví své programy
  7. ^ https://github.com/checkstyle/checkstyle/issues/523
  8. ^ "Statická analýza v Xcode". Jablko. Citováno 2009-09-03.
  9. ^ „Visual Expert for Oracle - PL / SQL Code Analyzer“. www.visual-expert.com. 2017-08-24.
  10. ^ „Visual Expert for SQL Server - Transact SQL Code Analyzer“. www.visual-expert.com. 2017-08-24.
  11. ^ Cousot, Patrick (2007). "Role abstraktní interpretace ve formálních metodách". Pátá mezinárodní konference IEEE o softwarovém inženýrství a formálních metodách (SEFM 2007). Mezinárodní konference IEEE o softwarovém inženýrství a formálních metodách. str. 135–140. doi:10.1109 / SEFM.2007.42. ISBN  978-0-7695-2884-7.

externí odkazy