Facebook开源静态代码分析工具Infer介绍

原创
2020/08/11 09:28
阅读数 539

Facebook开源的静态代码分析工具Infer使用指南



01

什么是Infer?


Infer是Facebook公司的一个开源的静态分析工具。Infer 可以分析 Objective-C, Java 或者 C 代码,用于发现潜在的问题。其作用类似于sonar和fortify。Infer更倾向于发现代码中的空指针异常、资源泄露以及内存泄漏的问题。

官网地址如下:https://infer.liaohuqiu.net/



02

如何安装Infer?


在github上下载infer的安装包,目前infer只支持mac和linux系统。下载地址如下:

https://github.com/facebook/infer/releases

github上面下载比较慢,我下载了一个0.17.0的版本,存放到网盘了,可以从网盘下载:

链接:https://pan.baidu.com/s/1jkpoLXjMmwmrEJVPb6PZcA

提取码:1234



linux上安装步骤如下:


将下载好的linux系统下的安装包传到linux服务器(假设约定存放在/root/tools目录),执行下面的命令:

cd /root/toolsxz -d infer-linux64-v0.17.0.tar.xz (先转成tar格式)tar xvf infer-linux64-v0.17.0.tarcd /root/tools/infer-linux64-v0.17.0echo "export PATH=\"\$PATH:`pwd`/bin\"" \ >> ~/.bash_profile &&source ~/.bash_profile


如果你是在 linux 中,如果 ~/.bash_profile 不存在的话,你也许需要把 ~/.bash_profile 替换成 ~/.bashrc



执行完之后,输入 infer --version 检查环境变量是否配置成功




03

如何使用Infer进行maven工程的代码扫描?


进入到代码pom.xml文件所在目录

输入如下命令即可扫描:

infer --  mvn compile  (执行该命令会默认在当前目录下生成一个infer-out的报告目录),该目录下会有一个bugs.txt和report.json,可以用来查看扫描出来的bug和报告信息。



04

如何使用Infer进行多个版本扫描结果对比?


infer扫描结果默认保存在infer-out文件夹中,要对比多个版本的扫描结果的话,可以将不同的扫描结果存放于不同的文件夹中。

infer可以使用-o参数指定报告输出的文件夹名称。


使用介绍:

扫描第一次,指定生成报告的位置:

infer -o ./inferresult_first  -- mvn clean  compileinfer -o ./inferresult_first  -- mvn clean  compile

开发修复bug后,进行第二次扫描:

infer -o ./inferresult_second  -- mvn clean  compileinfer -o ./inferresult_second  -- mvn clean  compile


然后使用infer的reportdiff命令,输出两次infer扫描的对比结果,命令如下:

infer reportdiff --report-current inferresult_second/report.json --report-previous inferresult_first/report.json


使用上面命令,会在 infer-out中多出来一个文件夹differential,文件中有三个json文件分别为:
introduced.json:新增问题
fixed.json:新版本修复问题
preexisting.json:一直存在问题



05

如何集成jenkins进行持续集成?


理论上,一切支持命令行操作的工具都支持集成到Jenkins中。infer集成jenkins的操作就不详细介绍了,添加一个执行shell脚本的步骤,直接执行shell命令即可。

下面,主要介绍一下,如何在jenkins上展示infer的报告:

先安装PMD插件,然后在jenkins中配置如下:


运行后,jenkins中对应job的左侧列表中会出现PMD Warnings的选项,点击即可看到详细的扫描结果:





06

课后扩展


以上只是基于linux系统简单介绍一下Facebook公司的开源代码扫描工具Infer的简单用法,让大家可以有个简单的了解。遗留一些问题感兴趣的朋友可以继续扩展学习:

1、mac电脑上如何搭建环境

2、除了扫描maven工程的java代码外,gradle编译的工程以及ios代码如何扫描

3、可以跟其他的代码扫描工具进行一下对比,看看各自的优缺点以及使用场景。比如sonar,findbugs、checkstyle、fortify等。

4、如何去采集jenkins上配置的扫描job的数据,分析项目各版本用工具扫描出来的代码问题的一个趋势和遗留问题 ,再了解一下这个工具是否会有误报的情况,如果存在误报,是否可以设置过滤?

更多Infer学习资料请访问官网(https://infer.liaohuqiu.net/docs/getting-started.html)





END



小博精选



围观

Jenkins教程之java代码编译、打包、代码扫描


热文

Jenkins自动部署测试环境之jar包部署


热文

一篇文章为你揭秘pytest的基本用法


热文

安全测试之--DVWA渗透测试演练系统环境搭建


热文

Jenkins介绍及环境搭建和目录结构介绍





扫描二维码

一起学习交流









本文分享自微信公众号 - 小博测试成长之路(libotest)。
如有侵权,请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”,欢迎正在阅读的你也加入,一起分享。

展开阅读全文
打赏
1
1 收藏
分享
加载中
更多评论
打赏
0 评论
1 收藏
1
分享
返回顶部
顶部