OClint是针对C, C++及Objective C代码的静态扫描分析工具,而SonarQube是一个开源的代码质量管理平台.本文将实现将OClint的扫描结果导入到SonarQube中,已实现对Objective C代码质量的管理. 操作系统: Mac OS X 10.9 所需工具: SonarQube : sonarqube-4.4 - http://www.sonarqube.org/downloads/ Sonar Runner : sonar-runner-dist-2.4 - ht

一.SonarQube整体介绍 SonarQube为静态代码检查工具,采用B/S架构,帮助检查代码缺陷,改善代码质量,提高开发速度,通过插件形式,可以支持Java.C.C++.JavaScripe等等二十几种编程语言的代码质量管理与检测. 通过客户端插件分析源代码,sonar客户端可以采用IDE插件.Sonar-Scanner插件.Ant插件和Maven插件方式,并通过各种不同的分析机制对项目源代码进行分析和扫描,并把分析扫描后的结果上传到sonar的数据库,通过sonar web界面对分析结果

代码提交,触发后端sonar测试,测试完成,jenkins触发依赖任务,执行python脚本,达到预期,调用上线任务模块,进行上线,达不到预期,钉钉群通知. 牵涉到配置: 1.配置sonar测试任务 https://www.cnblogs.com/leiziv5/p/9863211.html 参考 2,对配置测试任务进行调试, 构建失败触发邮件通知 2,配置一个新任务,执行python脚本 python脚本如下 ''' @author: lileilei @file: sonar.py @tim

对代码进行静态扫描是一种非常常见的代码质量保证手段,这种扫描不仅仅可以检查到代码中的缺陷,应用各种业界最佳实践,也可以检查出安全方面的漏洞,给予项目代码全方位的提升.在各种代码扫描方案之中,SonarQube 最为人熟知,应用最为广泛.各种持续集成方案都有自己的方式融入 SonarQube 进行代码的静态扫描工作. 今天介绍一种基于 SonarScanner 在 Rainbond 源码构建过程中,对 Java Maven 项目进行静态扫描的方法. SonarScanner For Maven 简

简介 常用静态库文件的名字一般是 ***.lib ,例如 nisyscfg.lib 就是一个静态库文件,但是一个例程居然是引用 **.obj 文件作为静态库,有点非常规啊. 这是一个NI488.2 的例程,其中一个例程的说明文档如下: Microsoft Visual C++ (64-bit) With Microsoft Visual C++ (Version 8.0 or higher), this is done by typing in using the 64-bit environm

1. Flawfinder Flawfinder是一款开源的关于C/C++静态扫描分析工具,其根据内部字典数据库进行静态搜索,匹配简单的缺陷与漏洞. 官网:https://dwheeler.com/flawfinder/#downloading 2. Flawfinder的安装 由于历史原因,Python有两个大的版本分支,Python2和Python3,又由于一些库只支持某个版本分支,所以需要在电脑上同时安装Python2和Python3.对于Flawfinder而言,其是基于 Python2

今天再次想启动Java代码静态检测工具的利用问题,主要再次尝试用了PMD,发现不少代码编码规范问题和好的代码建议,并学到不少自己之前没有注意到的Java方便的基础知识,感觉很不错,把相关明白的好的规则回忆总结下,再以后编码过程中要把随时利用代码静态检查工具,用好代码静态检查工具养成习惯.今天用到的PMD检查规则如下: If表达式必须使用{},无论有多少语句 While循环必须使用{},无论有多少语句 IfElse表达式必须使用{}  For循环语句必须使用{} 如果方法返回boolean,那么注

主要介绍利用java静态代码检查工具findbugs进行代码检查,包括其作用.安装.使用.高级功能(远程review和bug同步). 虽然Android提供了Test Project工程以及instrumentation可以方便的进行单元测试,不过据了解国内Android开发会写自测代码的寥寥无几.那么有没有简单的方法一定程度上保证代码质量呢.Android应用开发大多使用Java,所以对于Java代码检查工具都可以适用,本文介绍其中功能较为强大的findbugs. 1.findbugs作用 f

代码漏洞扫描 漏洞描述:Cross Site History Manipulation 简要描述:产品的行为差异或发送不同的反应,在某种程度上暴露了与安全性相关的产品状态,例如特定的操作是否成功.可能的漏洞消除办法: 区分你的系统"安全"的区域,这些区域可以明确地绘制信任边界.不允许敏感数据到信任边界的外面,和安全区域外的空间交互时需要时刻小心.为错误条件设置通用的响应.这个错误页面不应该透露有关成功或失败的敏感性操作的信息.例如,登录页面不应该确认登录是正确的和密码是错误的.攻击者想

pmd是一款开源的代码扫描工具,这里对pmd做了一些修改,加了安全相关的插件.支持的代码文件类型:java.vue.js.xml 下载链接: https://files.cnblogs.com/files/SEC-fsq/PMD-Intellij.zip 安装: 1.在idea中使用,安装pmd插件,然后把里边的jar文件全部替换掉即可. 2.或者也可以直接解压后拷贝到插件目录. /Users/fsq/Library/Application Support/IdeaIC2017.2/PMD-In

搭建Jenkins wget -O /etc/yum.repos.d/jenkins.repo http://pkg.jenkins-ci.org/redhat/jenkins.reporpm --import https://jenkins-ci.org/redhat/jenkins-ci.org.keyyum install -y jenkins systemctl enable jenkins.service #设置jenkins服务为自启动服务systemctl start jenkin

python代码安全扫描工具:Coverity. Fortify.SecMissile(漏扫,对源代码提供基于语义的搜索和分析能力,实现已知安全漏洞的快速扫描)

我这里使用7.4因为使用JDK是1.8 其它版本看下依赖版本就好 1.下载7.4版本安装包 https://binaries.sonarsource.com/CommercialDistribution/sonarqube-developer/sonarqube-developer-7.4.zip 2.配置数据库(Mysql)<初始化sonar相关信息> .也可以配置其它数据库EQ:Oracle 把ojdbc放到jar目录下 将以下内容写到sonar.properties里 sonar.jdb

原创文章,转载请注明出处! 源码地址: Gitee Gtihub 介绍 GraalVM最佳实践,使用Java开发CLI.Desktop(JavaFX).Web(SpringBoot)项目,并使用native-image技术把Java代码静态编译为独立可执行文件(本机映像). GraalVM让Java再次变得强大,使用native-image把程序编译为目标平台的可执行文件,脱离jvm直接运行,启动速度飞快,内存负载也很低. 模块概览 体验我已经编译好的可执行文件(Windows.Linux.Ma

在正式进入测试之前,进行一定的静态代码分析及code review对代码质量及系统提高是有帮助的,以上为数据证明 Pmd 它是一个基于静态规则集的Java源码分析器,它可以识别出潜在的如下问题:– 可能的bug——空的try/catch/finally/switch块.– 无用代码(Dead code):无用的本地变量,方法参数和私有方法.– 空的if/while语句.– 过度复杂的表达式——不必要的if语句,本来可以用while循环但是却用了for循环.– 可优化的代码:浪费性能的String

[转载]常用 Java 静态代码分析工具的分析与比较 转载自 开源中国社区 http://www.oschina.net/question/129540_23043       1月16日厦门 OSC 源创会火热报名中,奖品多多哦 »   简介: 本文首先介绍了静态代码分析的基本概念及主要技术,随后分别介绍了现有 4 种主流 Java 静态代码分析工具 (Checkstyle,FindBugs,PMD,Jtest),最后从功能.特性等方面对它们进行分析和比较,希望能够帮助 Java 软件开发人员

建议32: 静态变量一定要先声明后赋值 这标题看着让人很纳闷,什么叫做变量一定要先声明后赋值?Java中的变量不都是先声明后使用的吗?难道还能先使用后声明?能不能暂且不说,我们先来看一个例子,代码如下: public class Client { public static int i=1; static{ i=100; } public static void main(String[] args) { System.out.println(i); } } 这段程序很简单,输出100嘛!对,确

Static Code Analysis(静态代码分析)用来发现源代码潜在的错误与缺陷,源代码编译后只有在运行时有可能会产生细微的错误,他们可能难以识别和修复,所以这些潜在的威胁在开发过程中一定要尽可能清理干净,尽量编写的时候注意类似可能潜在的威胁与缺陷.击查看苹果Static Code Analysis官方介绍) 一.可以识别的问题与缺陷 .逻辑缺陷,如访问未初始化的变量和空指针 .内存管理的缺陷,如分配后的内存泄漏 .无效数据(未使用的变量)缺陷 .使用api缺陷,不遵循库或者框架的使用规则

一.github地址: https://github.com/alibaba/p3c 二..eclipse插件的安装 此处示例采用eclipse,版本为 Neon.1 Release RC3 (4.6.1RC3) 1.help-install new software 2.弹出的窗口点击add 在(Name)位置项中输入:p3c(这里可自定义) 在(URL)位置项中输入链接 :https://p3c.alibaba.com/plugin/eclipse/update 点击select all 按

Eclipse Version: Oxygen.3a Release (4.7.3a)Myeclipse版本: 10.7 SonarLint 插件离线安装包:org.sonarlint.eclipse.site-2.0.0.20160404-1547-RELEASE.zip 下载地址:https://bintray.com/sonarsource/SonarLint-for-Eclipse/releases/2.0.0 Eclipse离线安装SonarLint Myeclipse离线安装Sona

一.前言 1.本文主要内容 CentOS7下SonarQube部署 Maven扫描Java项目并将扫描结果提交到SonarQube Server SonarQube扫描报表介绍 2.环境信息 工具/环境 版本 CentOS CentOS 7.6(IP:192.168.88.45) SonarQube 7.5 JDK 1.8.0 MySQL 5.7 3.准备工作 安装JDK1.8 参考:https://ken.io/note/centos-java-setup 安装MySQL 参考:https:/