Auswahl eines Tools zur statischen Codeanalyse [closed]

Ich arbeite an einem Projekt, bei dem ich in C in einer UNIX-Umgebung codiere. Ich habe das Lint-Tool verwendet, um meinen Quellcode zu überprüfen. Lint gibt es schon lange (seit 1979). Kann jemand ein neueres Codeanalyse-Tool vorschlagen, das ich verwenden könnte? Am besten ein kostenloses Tool.

Übersehen Sie nicht den Compiler selbst. Lesen Sie die Dokumentation des Compilers und finden Sie alle Warnungen und Fehler, die er bereitstellen kann, und aktivieren Sie dann so viele wie für Sie sinnvoll.

Stellen Sie außerdem sicher, dass Sie Ihren Compiler anweisen, Warnungen wie Fehler zu behandeln, damit Sie gezwungen sind, sie sofort zu beheben (-Werror auf gcc). Übrigens, lass dich nicht täuschen -Wall auf gcc tut nicht Aktivieren Sie alle Warnungen.

Vielleicht möchten Sie es überprüfen valgrind (kostenlos!) – es „automatisch erkennen[s] viele Speicherverwaltungs- und Threading-Fehler und Profile[s] Ihre Programme im Detail.” Es ist kein statischer Checker, aber es ist ein großartiges Werkzeug!

Für C-Code sollten Sie auf jeden Fall verwenden Flexelint. Ich benutze es seit fast 15 Jahren und schwöre darauf. Eine der wirklich großartigen Funktionen ist, dass Warnungen über Kommentare im Code (“/* lint -e123*/”) selektiv ein- und ausgeschaltet werden können. Dies stellte sich als leistungsstarkes Dokumentationstool heraus, wenn Sie etwas Außergewöhnliches machen wollten. „Ich schalte Warnung X aus, deshalb gibt es einen guten Grund, warum ich X mache.“

Für alle, die sich für interessante C/C++-Fragen interessieren, schauen Sie sich einige ihrer Beispiele auf ihrer Website an und sehen Sie, ob Sie die Fehler herausfinden können, ohne sich die Hinweise anzusehen.

Ich habe Gutes darüber gehört clang statischer Analysator, wobei IIRC LLVM als Backend verwendet. Wenn dies auf Ihrer Plattform implementiert ist, ist dies möglicherweise eine gute Wahl.

Soweit ich weiß, macht es ein bisschen mehr als nur eine Syntaxanalyse. „Automatische Fehlersuche“ zum Beispiel.

Sie können verwenden cppcheck. Es ist ein einfach zu bedienendes Tool zur statischen Codeanalyse.
Zum Beispiel:
cppcheck --enable=all .

überprüft alle C/C++-Dateien im aktuellen Ordner.

Ich habe kürzlich eine Liste aller mir zur Verfügung stehenden statischen Analysetools zusammengestellt, ich bin noch dabei, sie alle zu evaluieren. Beachten Sie, dass dies hauptsächlich Sicherheitsanalysetools sind.

• Schiene
• RATTEN
• SCHNELL
• Uno

Wir haben verwendet Verdecktheit verhindern um den C++-Quellcode auszuchecken.

Es ist kein kostenloses Tool (obwohl ich glaube, dass sie kostenlose Scans für Open-Source-Projekte anbieten), aber es ist eines der besten statischen Analysetools, die Sie finden werden. Ich habe gehört, dass es in C noch beeindruckender ist als in C++, aber es hat uns bisher geholfen, eine ganze Reihe von Fehlern zu vermeiden.

Fusselartige Werkzeuge leiden im Allgemeinen unter einem „Fehlalarm“-Problem: Sie melden viel mehr Probleme, als wirklich vorhanden sind. Ist der Anteil an wirklich sinnvollen Warnungen zu gering, lernt der Nutzer, das Tool einfach zu ignorieren. Modernere Tools unternehmen einige Anstrengungen, um sich auf die wahrscheinlichsten/interessantesten Warnungen zu konzentrieren.