代码Bug太多？给新人Code Review头都大了？快来试试SpotBugs

绝地灬酷狼 2023-09-25 21:55 82阅读 0赞

如果你需要一个自动化的工具帮助你或者你的团队发现代码中的缺陷，在提升代码质量同时减少人工Code Review的成本，那这篇文章非常的适合你。本文围绕SpotBugs与Gradle集成，将相关配置和使用进行了详细介绍，并提供了各种能够为你的项目定制化配置的手段。来源和出处都已在文中关键处以超链接给出，尽情享受吧。

## SpotBugs是什么？ ##

**SpotBugs是一个开源的Java静态分析工具**，旨在帮助开发人员检测代码中的潜在缺陷和漏洞。SpotBugs可以通过扫描Java字节码来发现潜在的问题，例如空指针引用、类型转换错误、未使用的变量等等。它还可以检测代码中的潜在安全漏洞，例如SQL注入、XSS攻击等。SpotBugs提供了一个用户友好的GUI和命令行接口，可以轻松地与各种构建工具和IDE集成，例如Ant、Maven、Gradle、Eclipse和IntelliJ IDEA。SpotBugs还支持插件和自定义规则，使得开发人员可以根据项目的特定需求和标准对其进行定制化配置。更多详细信息可以查看[SpotBugs官方文档][SpotBugs]。

**SpotBugs是FindBugs的一个分支**，它在FindBugs的基础上进行了改进和升级，它使用了更先进的算法和技术来提高分析的准确性和效率。SpotBugs还添加了对新的Java版本的支持，例如Java 8和Java 11。SpotBugs还提供了更好的用户界面和命令行界面，并支持更多的构建工具和IDE集成。

FindBugs也是一款非常流行的Java静态分析工具，但是已经停止更新。停更的原因似乎是项目拥有者不愿继续在这个项目上花时间，代码贡献者因为没有权限也无法继续迭代和发布新的版本，在[FindBugs GitHub首页][FindBugs GitHub]的[README][]文件中提供了两个文档[项目状态 2016-November][2016-November]和[项目状态 2017-September][2017-September]，里面讲述了代码贡献者当时的一些担忧和无奈。

## SpotBugs与Gradle集成 ##

开始之前先简单介绍下本文中将会提到的几个依赖以及它们之间的关系，以便于理解后续内容：

*  `com.github.spotbugs.snom:spotbugs-gradle-plugin`是一个Gradle插件，它将SpotBugs集成到 Gradle构建中，生成SpotBugsTask并可以通过配置属性来扩展。
 *  `com.github.spotbugs:spotbugs`这个依赖基本包含了所有SpotBugs检测器，这些检测器实现了[Bug descriptions][]中提到的相关Bug检测项的逻辑。
 *  `com.h3xstream.findsecbugs:findsecbugs-plugin`在`com.github.spotbugs:spotbugs`的基础上增加了安全相关的检查器也就是[Bug descriptions\#Security][Bug descriptions_Security]中描述的相关检查项。
 *  `com.github.spotbugs:spotbugs-annotations`是Spotbugs的一个扩展/辅助工具，开发者使用这里面注解可以让Spotbugs按照我们的意图来检查代码。

### spotbugs-gradle-plugin ###

**spotbugs-gradle-plugin**是一个Gradle插件，它将SpotBugs集成到Gradle构建中，生成SpotBugsTask并提供相关配置来扩展，运行SpotBugsTask就可以执行检查，生成报告等。

默认情况下，这个插件里面已经包含了一个**spotbugs**，所以应用了这个插件后一般无需在另外添加`com.github.spotbugs:spotbugs`。从[SpotBugs version mapping][]中可以知道**spotbugs-gradle-plugin**不同版本中默认包含的**spotbugs**版本之间的关系，比如：`com.github.spotbugs.snom:spotbugs-gradle-plugin:5.0.13`包含了`com.github.spotbugs:spotbugs:4.7.3`。

[SpotBugs Gradle插件][SpotBugs Gradle]要求Gradle版本为7.0或者更高，JDK版本为1.8或者更高。

这个插件会为每个sourceSets生成SpotBugsTask。例如项目中有两个sourceSets main和test，插件将生成两个SpotBugsTask（spotbugsMain和spotbugsTest）。

如果不想自动生成SpotBugsTask，可以使用SpotBugs Base插件从头开始配置，参考[com.github.spotbugs-base][]。

生成的SpotBugsTask执行时需要编译后的.class文件作为输入，因此它们将在Java编译后运行。SpotBugs Gradle增加了check相关的任务依赖，所以简单的运行`./gradlew check`也会执行生成的SpotBugsTask。

参考[com.github.spotbugs][]在build.gradle文件中增加以下内容来引入SpotBugs Gradle插件：

buildscript {
      repositories {
        maven {
          url "https://plugins.gradle.org/m2/"
        }
      }
      dependencies {
        classpath "com.github.spotbugs.snom:spotbugs-gradle-plugin:5.0.13"
      }
    }
    
    apply plugin: "com.github.spotbugs"

插件里面提供了很多可选的属性来配置或者扩展插件的行为。

下面展示了在build.gradle文件增加`spotbugs{}`相关属性的例子，详细信息可以参考

[SpotBugs]: https://spotbugs.readthedocs.io/en/latest/
[FindBugs GitHub]: https://github.com/findbugsproject/findbugs
[README]: https://github.com/findbugsproject/findbugs/blob/master/README.md
[2016-November]: https://mailman.cs.umd.edu/pipermail/findbugs-discuss/2016-November/004321.html
[2017-September]: https://mailman.cs.umd.edu/pipermail/findbugs-discuss/2017-September/004383.html
[Bug descriptions]: https://spotbugs.readthedocs.io/en/stable/bugDescriptions.html
[Bug descriptions_Security]: https://spotbugs.readthedocs.io/en/stable/bugDescriptions.html#security-security
[SpotBugs version mapping]: https://github.com/spotbugs/spotbugs-gradle-plugin#spotbugs-version-mapping
[SpotBugs Gradle]: https://github.com/spotbugs/spotbugs-gradle-plugin
[com.github.spotbugs-base]: https://plugins.gradle.org/plugin/com.github.spotbugs-base
[com.github.spotbugs]: https://plugins.gradle.org/plugin/com.github.spotbugs