🌶️ 🙍 📽️ PVS-Studioについて知りたいことや、質問することをためらわないこと 💌 🧀 🍣

最近、ロシアおよび海外のさまざまな専門IT会議での存在感を強化しました。ほとんどのイベントでは、スタンドで立ち上がろうとしますが、プレゼンテーションを行うこともあります。会議は、当社製品（PVS-Studio静的コードアナライザー）の認知度を高めるだけでなく、最も重要なことには、潜在的な既存ユーザーをより身近に知ることができます。スタンドで訪問者とコミュニケーションを取りながら、当社の従業員はしばしば同じ質問に答えます。この記事では、一般的な静的解析、特にPVS-Studioに関する訪問者の最もよくある質問に答えようとします。

手始めに、「期待と現実」をテーマにしたちょっとしたユーモア。私たちは多くの記事を書いており、人々がすでにそれらを読んでいるなら、少なくとも一般的には彼らは私たちの製品とその機能について知っていると単純に信じています。残念ながら、これは常にそうではありません。最近の会議での訪問者との実際のコミュニケーションの例を次に示します。訪問者：「Habréの記事を読みました。面白い。あなたの分析器が私たちにまったく合わないのは残念です。すべてのソースコードは秘密です。送信することはできません。ただし、クラウド上のすべてがそこで機能します。」

私たちのマーケティング部門にはおそらく何か取り組むべきことがあります。

次に、私は展示会の私たちのスタンドに一般的な訪問者からの他の一般的な質問と、それらへの即席の対話形式での回答をします。

Q：あなたについて何か聞きました。あなたはどこから来て、何をしていて、あなたのことをもっと知るには？

A：私たちはトゥーラの小さな独立したチームです。 C、C ++、C＃、Java言語用の静的コードアナライザーであるPVS-Studioを開発しています。 PVS-Studio Webサイトで、当社の詳細を確認できます。また、記事を書き、ブログ、 Habré 、その他のリソースに投稿します。

Q：どのような静的解析ですか？私たちのチームには、十分なコンパイラ警告と共同コードレビューがあります。

A：コンパイラは、グロスでかなり明白なエラーのみを指摘できます。たとえば、到達不能コードまたは初期化されていない変数の使用。コンパイラのエラー検出は副次的なタスクです。はい、コンパイラは最近非常にインテリジェントになりました。しかし、コード内のエラーを見つけるための特別なツールはコンパイラよりもはるかに優れているため、コードの詳細な分析を行い、タイプミス、論理エラー、ヌルポインター/リンクの潜在的な使用などを特定できます。

共同コードレビューは、実績のある優れたテクノロジです。しかし、他の人のコードに取り組むために追加の従業員を引き付ける必要性に関連する欠点もあります。これにより開発コストが増加しますが、ミスを犯すのは人間の性質であるため、エラーをスキップしたり新しいエラーを追加したりする可能性は残ります。

静的分析とは、プログラムを実行せずにソースコードを検証することです。エラーに対する追加の障壁として静的コード分析ツールを使用することをお勧めします。

Q： PVS-Studioは実行可能ファイルを分析しますか、それともソースコードを直接分析しますか？

A：脆弱性の検索について説明する場合、実行可能コードの分析は、ウイルス対策の動作により似ており、データベースのバイナリコードで署名を検索します。

PVS-Studioはソースコードを分析します。これにより、はるかに広い範囲のエラーと潜在的な脆弱性を特定し、作業の速度を上げ、より信頼性の高い結果を得ることができます。

はい、もちろん、コードを逆アセンブルして、アルゴリズムのエラーを見つけることができます。ただし、バイナリコードでは多くの情報が失われることを理解する必要があります。たとえば、コードがコンパイルされると、真の条件は常に単純に削除され、この条件に問題があることを見つける方法はありません。

Q：統合オプションとは何ですか？ IDEのプラグインはありますか？

A：現在、PVS-StudioはプラグインとしてVisual Studio 2010-2017に統合されています。 IntelliJ IDEA用のJavaプラグインがあります。また、特殊なモジュールのおかげで、Qt CreatorとCLionでCMakeプロジェクトを管理できます。

アナライザーは絶えず進化しているため、当社のWebサイトにアクセスして、製品の機能に関する最新情報を確認できます。

Q： SonarQubeを使用しています。

A：すばらしい選択。 SonarQubeのPVS-Studioプラグインを使用すると、分析結果をSonarQubeにインポートし、通常の方法でそれらを操作できます。

Q：どういうわけか、分析をビルドシステムに統合する必要があります。

A： PVS-Studioはコマンドラインから使用できます。アナライザーには、広範なタスクを解決するための多数の設定が含まれています。また、使用シナリオに関係なく、アナライザーの実装フェーズ中にクライアントにサポートを提供し、ライセンス期間全体を通じて技術サポートを提供します。

Q：アナライザーを試す方法は？

A：ダウンロードページを使用して、必要な配布キットをダウンロードし、PVS-Studioを試用モードで操作します。製品の評価にさらに時間が必要な場合、またはデモ版の制限に満足できない場合は、お問い合わせください。

また、展示会では、訪問者はエンタープライズキーを取得できます。その有効期間は1か月です。これを行うには、ユニコーンを持ってブースに来てください。さらに、宝くじのメンバーになり、PVS-Studioから賞品を受け取ることができます。

Q：私は学生ですが、PVS-Studioを無料で使用できますか？

A：これは、ソースコードに特別な種類のコメントを追加する場合に可能です。この方法でマークされたファイルは、制限なしでエラーがチェックされます。この動作モードの詳細については、「 PVS-Studioを無料で使用する方法」の記事をご覧ください。

Q：顧客は誰ですか？

A：現在、世界中の200社以上の企業が顧客になっています。彼らの活動範囲は非常に多様です。既存の顧客のリストは、当社のウェブサイトで見つけることができます。

Q：それで、ローカル操作モードがありますか？

A： PVS-Studioアナライザーは専用コンピューターにローカルにインストールされ、完全に独立して動作します。プラグインからドキュメント（診断の説明など）へのクイックリンクだけでなく、更新を受信するにはインターネット接続が必要です。現在、「クラウド」を介して作業するためのオプションを検討していますが、これは標準操作モードに追加されるものです。

Q：そして、たとえば、Coverityアナライザーで得意なことは何ですか？

A：この質問に簡単で包括的な答えを出すことは不可能です。他のアナライザーと比較する試みはすべて失敗しました。私たちは、特別に準備されたテストベースと他の致命的な罪を使用して、結果を「巻き上げる」バイアスで告発されました。さらに、アナライザーを単に「正面から」比較することはできません。各ツールは一意であり、独自の長所と短所があります。一部のツールはパフォーマンスに重点を置いており、他のツールはコードの「におい」を見つけてスタイルを改善することに焦点を当てています。バグと潜在的な脆弱性を探します。

希望と適切な方法論があれば、調査を実施し、当社のアナライザーを他のアナライザーと比較して、それについての記事を書くことができます。これを行うには、制限なしで一時ライセンスキーを発行します。しかし、批判に備えてください。

Q：わからないので、コンパイルされていないコードでのみエラーを探していますか？つまり、プログラムはコンパイラーチェックさえパスしませんでしたか？

A：そうではありません。 PVS-Studioは、コンパイルされたプログラムでのみエラーを検索および検出します。実際のアプリケーションで。これらのプログラムはエラーなしでコンパイルされるだけでなく、他のアナライザーによってチェックされるものもあります。それでも、エラーを探します。これについては、オープンソースプロジェクトをチェックして、ブログに記事を書くことがよくあります。

Q： PVS-Studioはプロジェクトでどのようなエラーを検出できますか？タイプミス？

A：もちろん、タイプミスは静的解析によって検出された古典的なエラーのクラスに属します。しかし、これに加えて、PVS-Studioは潜在的に数百のエラーパターンを検出できます。例：ヌルポインターの逆参照、ゼロ除算、条件は常にfalseまたはtrue、不正なインデックス操作、配列の境界外への移動など。エラーの完全なリストは、ドキュメントページに記載されています。

Q：アナライザーで確認した後、プログラムにエラーが含まれていないことを確認できますか？

A：いいえ。 PVS-Studioは、プログラムの正確性を証明するためのツールではありません。これは別のクラスのツールです。アナライザーのタスクは、コード内の潜在的なエラーを迅速かつ確実に示すことです。特定の設計の誤ibility性に関する決定は、開発者が常にエラーの発生のコンテキストとプロジェクトに関する知識を使用して行います。また、アナライザーは開発者を支援し、誤検知の数を最小限に抑え、受け取った警告のリストを処理するための追加機能を提供します。

Q： PVS-Studioはどのように機能しますか？どのような種類のエラー検索メカニズムですか？おそらく正規表現を使用しています。

A：正規表現の使用は非常に非効率的です。たとえば、条件内で最も原始的なエラーのみを検出できます（2つの同一の部分式を比較します）。

if ((a+b+) == (a+b+)) {....}

同時に、（作業のロジックを変更せずに）コードを少し変更すると、そのようなアナライザーは行き止まりになります。

 if ((a+b+) == (b+a+)) {....}

PVS-Studioアナライザーははるかにインテリジェントであり、次のメカニズムを使用します。

抽象構文木に基づくパターンマッチング。
型推論が続くセマンティックモデルの構築。
シンボリック実行。エラーにつながる可能性のある変数の値を計算したり、値の範囲をチェックしたりできます（範囲チェック）。
データフローの分析（データフロー分析）。
メソッドの注釈

これはすべて、私の同僚のAndrei Karpovが最近の記事「エラーおよび潜在的な脆弱性を見つけるためにPVS-Studioコードアナライザーで使用される技術」で詳しく説明しました。

Q：まあ、C / C ++プロジェクト、15年の開発、500万行のコードがあります。今すぐPVS-Studioの使用を開始できますか？

A：はい。実装段階では、プロジェクトの完全なチェックを一度行う必要があります。その後、受信したすべての警告（おそらく多くの警告が表示されます）は、後でこの技術的負債に戻るために、面白くない（一時的に結論を抑制している）ことに注意することができます。その後、PVS-Studioを使用して定期的に新しいコードのみをチェックできます。このページおよびアナライザのその他の機能の詳細については、ドキュメントのページをご覧ください。

Q：どのくらいの頻度でテストを実行する必要がありますか？そして、毎回コードベース全体をチェックしますか？

A：静的解析を最も効率的に使用するには、できるだけ頻繁に新しいコードをチェックする必要があります。このため、PVS-Studioはインクリメンタル分析モードを実装しています。プロジェクトの最後のビルド以降に変更されたファイルは、検証のために送信されます。他の操作モードがあります。これにより、開発段階ですでにエラーを識別できるため、リリースにエラーが混入するリスクが軽減されます。

Q： PVS-Studioを使用しています。アナライザーはエラーを検出しますが、その多くは未使用のコードまたはテストにあります。これでいいですか？

A：それは非常に正常です。動的分析とは対照的に、静的分析の機能の1つは、コードの実行時に実行されるコードだけでなく、コードベース全体の検証です。プログラムコードのデバッグに多くの時間と労力を費やし、すべてが安定して動作するとします。しかし、めったに使用されないか、まだ使用されていない関数があります。そのような関数でエラーを見つける可能性は高いです。そして、ある時点で関数の使用を開始すると、何かがおかしくなります。静的解析を使用すると、このような状況のリスクを最小限に抑えることができます。

また、コードには明らかに誤った構造が含まれている可能性があります（これは通常テストで発生します）。したがって、PVS-Studio設定を介して（プロジェクトまたはパスを指定して）スキャンから除外するのが理にかなっています。ただし、テスト自体にエラーが含まれることがあります。そのような状況を特定することは非常に困難であり、この場合、開発者が決定を下す必要があります。

Q：脆弱性の検索はどうですか？

A： PVS-StudioアナライザーはSAST（静的アプリケーションセキュリティテスト）ツールであり、 CWE （Common Weakness Enumeration）に従って分類された潜在的な脆弱性を識別することができます。 CWEアラートは、従来のPVS-Studioアラートとほぼ重複しています。 SASTの詳細については、ドキュメントをご覧ください。 潜在的な脆弱性が必ずしもハッカーによって悪用される可能性のある実際の脆弱性につながるとは限らないことを理解することが重要です。識別された脆弱性は、 CVE （Common Vulnerabilities and Exposures）によって分類されます。それでも、 潜在的な脆弱性を排除することは、プログラムのセキュリティの向上に明らかに貢献し、将来の実際の脆弱性を特定するリスクを最小限に抑えます。

Q：開発チームを率いています。 PVS-Studioはどの程度役立ちますか？

A：コードの品質と信頼性の向上に加えて、PVS-Studioの実装により、たとえば責任の分割に関連する純粋に管理的なタスクを解決できます。アナライザーパッケージにはBlameNotifierユーティリティが含まれており、バージョン管理システムに誤ったコードを送信した従業員を自動的に識別することができます。同時に、メール通知は請負業者とそのマネージャーの両方に送信されます。

また、エラーレポートを、ヘッドが使用するのに便利な詳細なhtmlレポートなど、ユーザーにとって便利な任意の形式に変換するように構成することもできます。

最後に、SonarQubeを使用する場合、このツールのすべての利点を使用して、特殊なプラグインを使用するPVS-Studioアナライザーを使用してプロジェクト検証の結果をSonarQubeにアップロードすることにより、継続的なコード品質管理を保証できます。

Q：機械学習の使用または使用を計画していますか？

A：これは大きくて興味深いトピックです。これについて重要な記事を書く予定です。今、私はいくつかの短い考えを表明するだけです。

機械学習を使用して計算機を作成する必要はありません。一定のルール（式）があり、それをコードに適用し、何らかの結論を引き出す必要があります。これらのパターンが既に存在する場合、新しいエラーパターンを検出するためにニューラルネットワークを設定する必要がある理由は明らかではなく、それらを正しく適用する必要があります。そして、最も重要なことは、そのようなトレーニングのベースをどこで入手できるかが明確ではないことです。あなたが学ぶことができる書かれたエラーがある数十万のプロジェクトのサンプルはどこにありますか？

私たちの意見では、機械学習アルゴリズムを使用することが理にかなっている唯一の場所は、誤検知を除外することです。

Q： PVS-StudioでPVS-Studioコードをチェックしますか？

A：もちろんです！さらに、エラーが発生した場合は、犯人のリストが公開され、その後アイスクリームで冷蔵庫から破られます。しかし、真剣に、私たちはあなた自身のツールを使用することが非常に有用であると信じています。これにより、ユーザーの観点から製品を見て、いくつかの欠点に気付くことができます。

Q：デスクトップとイヤーフラップ付きのブランドキャップの素晴らしいステータスを取得するにはどうすればよいですか？

A：最寄りの展示会でユニコーンを持ってブースに来てください。そこでブースを出展します。私たちは何かを思いつきます:)

展示会での私たちのスタンドへの訪問者の最も一般的な質問に答えることができたことを願っています。もちろん、答えるには別の記事を書く必要があるかもしれないより複雑な質問があります。

訪問者と通信するとき、私たちは主なアイデアを伝えようとします：静的分析はすべての病気の万能薬ではありませんが、その使用は健康（あなたのプログラム）に非常に役立ちます。 PVS-Studioを使用して、病気にならないでください！

結論として、再び多くの有用なリンクを提供します。

この記事を英語圏の聴衆と共有したい場合は、翻訳へのリンクを使用してください：Sergey Khrenov。 PVS-Studioについて知りたいこと、そしてあえて聞かないこと

PVS-Studioについて知りたいことや、質問することをためらわないこと

More articles: