java - Java 静态分析的 Coverity

Question

我想从使用或评估 Coverity 静态分析 Java 代码的人那里得到评论。我知道它在 C/C++ 世界很流行，但是花钱进行 Java 分析是否值得，还是我最好使用 PMD、Findbugs 和其他开源工具？

Answer 1

如果您今天没有使用任何东西，我将从 Findbugs 和 PMD 开始。它们易于安装和使用。首先集中精力检查和修复 Findbugs 的正确性错误——他们建议从高和中等严重性正确性错误开始，因为检查器的误报率非常低，你会得到很好的返回。让开发人员使用 PMD 来清理代码，并使用 Eclipse 中的 Findbugs 插件来审查新代码。逐步工作将使开发人员了解并认同这些工具的实用性。

与 C/C++ 检查器相比，Coverity 的 Java 检查器仍然很弱。我们使用 Findbugs、PMD、Coverity 和 Klocwork，因为它们都有不同的优势，我们很偏执。如果您不偏执，您可以坚持使用开源工具并获得很多值(value)。或者，如果您需要安全检查:那么 Klocwork 或尤其是 Fortify 应该为您做更彻底的工作。