Pvs studio что это
Как использовать PVS-Studio бесплатно
Мы хотим помочь миру программного обеспечения лучше познакомиться с инструментами статического анализа кода и повысить качество программного обеспечения. Мы предоставляем возможность бесплатного использования анализатора PVS-Studio студентам в учебных целях, индивидуальным разработчикам и коллективам энтузиастов.
Введение
Клиентами анализатора PVS-Studio являются отделы разработчиков различных компаний. Мы бы хотели, чтобы нашими клиентами были и индивидуальные разработчики. К сожалению, у нас ничего не получилось с экспериментальным продуктом CppCat. Мы не знаем, как построить успешный бизнес в сфере статического анализа кода, продавая персональные лицензии. Поэтому сейчас продукт PVS-Studio позиционируется исключительно как B2B решение.
Думаю, что наш провал с CppCat был предопределён. Мир диктует свои законы, и, например, тот же Coverity ориентирован на корпоративные лицензии. Однако, это не значит, что нужно исключать другие варианты взаимодействия с миром.
Мы долго думали, как помочь маленьким командам разработчиков или как распространять академические лицензии. На первый взгляд кажется, что самый простой путь — дарить лицензии тем, кто развивает бесплатное программное обеспечение. К сожалению, это решение не кажется нам правильным.
Стоит пояснить нашу позицию. Впрочем, если вам не терпится, вы можете сразу перейти к разделу «Бесплатная лицензия PVS-Studio». Если же читателю интересно узнать подробности, то предлагаю продолжить чтение.
Размышления
Представим индивидуального разработчика, разрабатывающего и продающего, например, какую-то игру. Его код закрыт и используется в коммерческих целях. Тем не менее, мы рады помочь ему познакомиться с методологией статического анализа кода и готовы подарить ему лицензию. Это рекламный шаг, который со временем может окупиться. Сейчас он один, но кто знает, что произойдёт через 5 лет.
С другой стороны, возьмем команду из 50 человек, работающих в крупной компании и занимающихся созданием открытого бесплатного проекта. Сидят 50 человек в офисе, едят печенье, получают зарплату и при этом позиционируют себя как идеалисты в плане развития свободного программного обеспечения. Да, продукт бесплатен, но компания извлекает из его существования значительную прибыль косвенными методами. Просто по ряду причин компании удобно, чтобы проект был открытым и бесплатным. Нам кажется вполне честным, что такая организация должна приобрести платную лицензию для использования анализатора.
Как видите, критерий бесплатности программы или открытости кода нам не подходит для принятия решения. Хочется разделить проекты, разрабатываемые в компании, и проекты маленьких коллективов энтузиастов. Можно сделать это исключительно лицензионным соглашением, но в таком случае сложно провести границу между разными типами проектов. Вдобавок, это мало поможет нам с точки зрения рекламы. Давайте будем честны: компании предоставляют бесплатные лицензии ради рекламы. В этом мы не хуже и не лучше других.
Решение было найдено интуитивно. Что отличает корпоративные проекты от проектов энтузиастов? В корпоративных проектах меньше свободы и больше бюрократии. Вряд ли руководство компании Microsoft будет радо, если разработчик в коде Microsoft Office напишет, что это его персональный проект. Этим надо воспользоваться и предлагать вносить в код правки, в которых упоминается PVS-Studio. Заодно код открытых проектов будет рекламировать PVS-Studio.
Бесплатная лицензия PVS-Studio
Вам нужно выполнить два шага, чтобы начать бесплатно использовать статический анализатор PVS-Studio.
Шаг 1.
Если вы используете PVS-Studio как плагин к Visual Studio или используете утилиту «C and C++ Compiler Monitoring UI» (Standalone.exe), то введите следующий лицензионный ключ:
Name: PVS-Studio Free
Если Вы используете PVS-Studio for Linux/macOS, то воспользуйтесь командой:
pvs-studio-analyzer credentials PVS-Studio Free FREE-FREE-FREE-FREE
Примечание. Ранее для активации бесплатной лицензии для Linux-версии было достаточно только комментария. Теперь требуется вводить и этот специальный ключ, так как без него некоторые сценарии использования анализатора оказались неудобными. Подробнее.
Шаг 2.
Внесите правки во все компилируемые файлы вашего проекта. Имеются в виду файлы с расширениями c, cc, cpp, cs и так далее. Заголовочные h-файлы менять не требуется.
Вы должны вписать в начало каждого файла две строки с комментарием. Мы предоставляем на выбор несколько вариантов. Это своего рода плата за возможность бесплатного использования анализатора PVS-Studio.
Комментарии для студентов (академическая лицензия):
Комментарии для открытых бесплатных проектов:
Комментарии для индивидуальных разработчиков:
Конечно, предложенные варианты подходят далеко не всем. В этом и состоит их смысл. Если ни один из предложенных вариантов вам не подходит, то предлагаем обсудить с нами вопрос покупки лицензии.
Примечание. Помимо описанного здесь способа бесплатного использования анализатора, вы можете по-прежнему скачивать с сайта демонстрационную версию анализатора для ознакомления. Если вы хотите на время снять ограничения демонстрационной версии, то просим написать нам.
Автоматизация
Если в вашем проекте много файлов, то вы можете воспользоваться вспомогательной утилитой. Вы должны будете указать ей какой комментарий вставлять и каталог с кодом. Затем утилита рекурсивно обойдет все файлы в папке и вложенных папках, добавляя в файлы с исходным кодом соответствующие комментарии. Скачать утилиту (вместе с исходным кодом) можно здесь: how-to-use-pvs-studio-free.
Заключение
Некоторые разработчики могут сказать, что не хотят видеть в начале файла две строчки с комментарием, не относящимся к сути проекта. Это их право, и они могут просто не использовать анализатор. Или они могут приобрести коммерческую лицензию и использовать её без ограничений. Мы рассматриваем наличие этих комментариев, как благодарность за предоставленную лицензию и, заодно, как дополнительную рекламу нашего продукта. Я думаю, это хороший, честный обмен.
Заодно решается вопрос отделения корпоративных проектов от частных инициатив. Если проект делают энтузиасты, они в праве делать с кодом всё, что им хочется, в том числе и добавлять такие комментарии. Если нет, значит за проектом стоит некая организация, от которой мы хотим получить вознаграждение в виде приобретения лицензии.
Надеемся наше предложение и позиция понятны. Если у вас остаются вопросы, то просим написать нам.
Чтобы убедить ваших коллег начать использовать анализатор кода PVS-Studio, предлагаем познакомить их со следующими разделами нашего сайта:
Update
Возникло очень много рассуждений на тему того, допустимо ли добавлять и удалять комментарии в исходный код, чтобы бесплатно использовать анализатор. Мы считаем такой приём неприемлемым, так как он по факту является способом обхода ограничения, наложенного нами на бесплатную лицензию. Поэтому мы решили добавить следующий раздел в лицензионное соглашение:
Вы имеете право использовать PVS-Studio бесплатно, добавив в исходный код своего проекта комментарии специального вида. Какие именно комментарии следует добавлять и как автоматизировать этот процесс описано в статье «Как использовать PVS-Studio бесплатно».
Отметим, что данный режим не предназначен для оценки возможностей анализатора. Чтобы познакомиться с анализатором, вы должны использовать демонстрационную версию или запросить у нас временный лицензионный ключ.
Вам следует вставлять комментарии, когда вы уже решили, что будете использовать анализатор на регулярной основе. Вы можете удалить впоследствии эти комментарии, но можете сделать это только один раз.
Не допускается многократное добавление комментариев в исходный код с последующим их удалением. Также не допускается многократное добавление комментариев с последующим откатом содержимого исходных файлов с помощью системы контроля версий. Такие действия направлены на обход условия, что исходный код должен содержать комментарии, и являются нарушением данного соглашения об использовании анализатора.
Update: Поддержка
Постепенно бесплатный вариант лицензирования набирает популярность, и наша команда всё больше времени тратит, оказывая поддержку бесплатным пользователем. При этом многие вопросы повторяются, поэтому мы считаем целесообразным оказывать в дельнейшем поддержку, отвечая на вопросы на сайте StackOverflow.
Общение через сайт StackOverflow сократит объем переписки, и позволит нам часто отвечать на вопросы, просто давая ссылку на уже обсужденный вопрос по данной теме. Более того, многие вопросы просто не будут заданы, так как пользователи смогут найти готовые ответы на StackOverflow самостоятельно, и им не потребуется ожидать нашего ответа в почте.
Итак, всех кто использует бесплатную версию PVS-Studio просим задавать нам вопросы на сайте StackOverflow. Чтобы ваш вопрос не остался незамеченным, используйте тег «pvs-studio».
Наши платные клиенты по-прежнему будут получать поддержку приватно через почту. Впрочем, если кто-то из клиентов будет задавать вопросы через StackOverflow, мы не возражаем.
Новый формат знакомства с PVS-Studio
Можно ли создать успешный продукт, не говоря ни слова? Боюсь, что нет. Ведь успешный продукт – это в первую очередь известный продукт. Какой бы замечательный инструмент вы бы ни создали в своём гараже, пока люди о нём не слышали, никто его не захочет купить. С этим сталкиваются абсолютно все компании, которые когда-либо существовали, существуют или будут существовать. Мы не исключение. Встречайте наш новый формат знакомства с продуктом — видеовстреча.
Конечно, если хочешь узнать о чём-то – попробуй в деле! Лучше один раз увидеть, чем тысячу раз услышать. Поэтому с самого начала мы предлагали и предлагаем интересующимся пробную версию PVS-Studio. Этот путь имеет место быть, но подходит он не всем.
Само собой, мы стараемся сделать этот процесс максимально комфортным. Так, в начале этого года мы сделали полный редизайн нашего сайта, ведь раньше он не отличался особым юзабилити 🙂
Это дало свои плоды, но мы не остановились на этом и в релизе 7.15 добавили новый режим Analyzer Best Warnings, который позволяет нажатием одной кнопки показать список самых интересных срабатываний.
Но что, если у человека не получилось сразу найти интересующую информацию? Или же недостаточно времени на поиск? Вот тут и приходит нам на помощь новый формат знакомства – демонстрация в формате видеовстречи.
Meet us
Разумеется, мы не первые, кто решил добавить демонстрации в свой арсенал. В действительности же – это один из самых популярных в b2b сегменте формат знакомства с продуктами. Причём он настолько популярен, что многие компании даже не предлагают пробную версию отдельно от него. Для многих это действительно самый удобный и эффективный способ знакомства с продуктом, поэтому мы не смогли обойти его стороной.
Чтобы зарегистрироваться на демо достаточно просто заполнить небольшую форму:
Форма запроса демонстрации
После этого мы свяжемся с вами по почте и обсудим некоторые детали. Например, какими технологиями вы пользуетесь. Это необходимо для того, чтобы персонализировать нашу демонстрацию под ваши нужды.
После этой небольшой части мы договоримся об удобном времени для общения с вами или вашей командой. В качестве приложения для звонков мы используем Zoom, однако при желании вы можете выбрать любой предпочитаемый вами инструмент, который позволяет транслировать изображение с экрана.
Что же будет на самой демонстрации?
Мы подготовили адаптивные презентации для того, чтобы максимально эффективно и быстро рассказать обо всех важных особенностях нашего продукта. Вы познакомитесь не только с тем, что умеют наши инструменты, но и с тем, в каких ситуациях их лучше применять.
Слайд про поддерживаемые стандарты
Благодаря тому, что это живой разговор, а не запись, мы будем акцентировать внимание не на всём, а только на актуальных для вас аспектах. Разумеется, это не только используемые вами языки программирования. В процессе демонстрации мы постараемся узнать больше о специфике вашей разработки и подстроить рассказ под неё.
Кроме того, у нас есть и другие презентации. Например, одна из них посвящена найденным при помощи PVS-Studio ошибкам в open source проектах. Мы можем рассказать её при вашем желании.
Одна из найденных нами ошибок в проекте Tor
Кстати, наши презентации содержат в себе большое количество ссылок и различной полезной информации, поэтому после демонстрации мы отправим вам их по почте.
Готовы узнать больше о PVS-Studio?
На данный момент мы уже проводим демонстрации для русскоязычного сегмента. Так что если вам интересно попробовать этот формат знакомства, то переходите по этой ссылке на форму для регистрации. Мы всегда рады пообщаться с вами 🙂
PVS-Studio для Visual Studio
Что такое статический анализ кода и зачем он нужен
Статический анализ кода — это процесс выявления ошибок и недочетов в исходном коде программ. Статический анализ можно рассматривать как автоматизированный процесс обзора кода. Совместный обзор кода — замечательная методология. Но у неё есть и существенный недостаток — высокая стоимость. Необходимо регулярно собирать нескольких программистов для обзора нового кода или повторного обзора кода после внесения рекомендаций.
С одной стороны, хочется регулярно осуществлять обзор кода. С другой — это слишком дорого. Компромиссным решением являются инструменты статического анализа кода. Они без устали обрабатывают исходные тексты программ и выдают программисту рекомендации обратить повышенное внимание на определенные участки кода. Конечно, программа не заменит полноценного обзора кода, выполняемого коллективом программистов. Однако, соотношение польза/цена делает использование статического анализа весьма полезной практикой, применяемой многими компаниями. Если читателя интересуют конкретные числа, то предлагаю познакомиться со статьёй «PVS-Studio ROI».
Главное преимущество статического анализа состоит в возможности существенного снижения стоимости устранения дефектов в программе. Чем раньше ошибка выявлена, тем меньше стоимость ее исправления. Так согласно данным, приведенным в книге Макконнелла «Совершенный Код», исправление ошибки на этапе тестирования обойдется в десять раз дороже, чем на этапе конструирования (написания кода):
Рисунок 1. Средняя стоимость исправления дефектов в зависимости от времени их внесения и обнаружения (данные для таблицы взяты из книги С. Макконнелла «Совершенный Код»).
Инструменты статического анализа позволяют выявить большое количество ошибок этапа конструирования, что существенно снижает стоимость разработки всего проекта. Например, статический анализатор кода PVS-Studio может запускаться в фоновом режиме сразу после компиляции и, в случае нахождения потенциальной ошибки, уведомит программиста. Подробнее об этом режиме будет рассказано ниже.
Статический анализатор кода PVS-Studio
PVS-Studio — статический анализатор, выявляющий ошибки и потенциальные уязвимости в исходном коде приложений на языках C, C++ (также поддерживаются расширения: C++/CLI и C++/CX), C# и Java на платформах Windows, Linux и macOS. Анализатор великолепно интегрируется в среды Visual Studio 2010 — 2019 и IntelliJ IDEA. В этой статье мы подробно рассмотрим работу PVS-Studio для проверки кода на языках C, C++ и C#. Про то, как использовать PVS-Studio для проверки Java кода в IntelliJ IDEA, можно почитать здесь.
После установки PVS-Studio и интеграции в Visual Studio, пользователи получают дополнительный пункт «PVS-Studio» в главном меню и окно для работы с диагностическими сообщениями (см. рисунок 2).
Рисунок 2. Основные элементы, добавляемые анализатором PVS-Studio при интеграции в Visual Studio.
Начальные настройки
Анализатор готов к работе сразу после установки. В большинстве случаев вам не потребуется ничего настраивать, чтобы осуществить первый запуск. Единственная настройка, которая может понадобиться вам в начале, это исключение сторонних библиотек. Вы ведь все равно не будете ничего править в исходных файлах, например, библиотеки jpeg, поэтому незачем её проверять. Вдобавок, исключение лишних папок сократит время анализа проекта. Исключаемые из анализа директории задаются здесь: PVS-Studio > Options… > Don’t Check Files > PathMasks (см. рисунок 3).
Рисунок 3. Редактирование списка директорий, которые анализатор не будет проверять.
Если в полном пути файла есть одно из указанных имён, то анализ выполняться не будет. По умолчанию, в список уже включены имена некоторых директорий. Однако, в вашем проекте папка с библиотекой ZLib может называться не «zlib», а, например, «zip_lib». Поэтому следует отредактировать этот список. Для начала редактирования следует нажать кнопку с тремя точками.
Примеры допустимых масок для списка PathMasks:
Проверка проекта
По завершению первичных настроек, вы можете приступить к проверке проекта. PVS-Studio для Visual Studio поддерживает проверку C++ (.vcxproj) и C# (.csproj) проектов. Также можно сразу попробовать проверить решение, содержащее проекты таких типов, целиком. Для этого выберите пункт меню Extensions > PVS-Studio > Check > Solution (см. рисунок 4).
Рисунок 4. Проверка решения (Solution) с помощью анализатора PVS-Studio.
Если с проверкой возникнут какие-то трудности, мы рекомендуем обратиться к разделу «Не удается проверить?» на нашем сайте. Это не бестолковые рекомендации в духе «проверьте, что вилка вставлена в розетку». В разделе описаны типовые ситуации, с которыми к нам обращались пользователи, и предложены варианты действий.
Работа со списком диагностических сообщений
После проверки все диагностические сообщения будут отображены в специальном окне. Окно имеет много элементов для управления. Все они служат для того, чтобы показать именно те диагностические сообщения, которые интересны пользователю. Однако, в первый момент окно может показаться сложным. Давайте рассмотрим все управляющие элементы (см. рисунок 5).
Рисунок 5. Окно с диагностическими сообщениями.
Контекстное меню
Итак, по двойному клику мышки на сообщении вы переходите к нужному фрагменту кода. По нажатию правой кнопки мышки открывается контекстное меню.
Меню достаточно простое, и не стоит перегружать статью описанием каждого из пунктов. Если что-то непонятно, можно подсмотреть в документации.
Однако, хочу остановиться на одной очень полезной фиче. Помните, что в настройках можно добавить папки/файлы для исключения (см. рисунок 2). Так вот, добавлять что-то намного проще, чем кажется!
Обратите внимание на пункт «Don’t check files and hide all messages from. ». При нажатии на него выпадает список путей, которые можно добавить в исключение (см. рисунок 6).
Рисунок 6. Исключение файлов из проверки.
Можно выбрать как отдельный файл, так и одну из директорий. На рисунке показано, что выбирается папка «SDL2-2.0.9\src\haptic\windows». Это значит, что все файлы в этой папке и всех подпапках будут исключены из анализа. Более того, все сообщения, относящиеся к этим файлам, сразу исчезнут из списка. Очень удобно. Не нужно перезапускать анализ, чтобы убрать все сообщения, относящиеся к тестам.
Режим инкрементального анализа
Введение в PVS-Studio будет неполным, если не рассказать об одной из важнейших возможностей — инкрементальном анализе кода.
Чем раньше ошибка найдена, тем дешевле её устранение. Идеально сразу подчеркивать ошибки в редактируемом тексте программы. Однако, это технически сложно и ресурсоемко. Поэтому PVS-Studio запускается в фоновом режиме в тот момент, когда исправленный код успешно скомпилирован. Таким образом, ищутся ошибки в только что измененном коде. О том, что происходит анализ, можно судить по иконке в системной области уведомлений.
Когда ошибка найдена, появляется всплывающее окошко, предупреждающее об опасности (см. рисунок 7).
Рисунок 7. Всплывающее сообщение, что найдены подозрительные места в отредактированных файлах.
Если кликнуть мышкой на иконку, то откроется IDE с результатом проверки проекта (см. рисунок 2) и можно будет изучить подозрительный фрагменты кода.
На самом деле, чем описывать этот режим, проще попробовать поработать с ним. Вы пишите код, как и раньше. А если надо, анализатор потревожит вас. Попробуйте!
Мы сами постоянно используем этот режим. Да, мы тоже иногда допускаем ошибки при кодировании. И возможность их сразу исправить существенно сокращает время на обнаружение дефекта и попытку понять, отчего программа ведёт себя не так, как планировалось. Очень обидно потратить минут 15-20 на отладку, чтобы потом обнаружить опечатку в индексе. Вот один из случаев, когда PVS-Studio нашел ошибку в PVS-Studio сразу после того, как она появилась в коде:
Но это, конечно, цветочки. Анализатор PVS-Studio иногда может оказаться намного полезнее. Вот один из отзывов о нашем анализаторе: «Пример использования статического анализатора». Текст заставляет задуматься.
Резюмирую. Инкрементальный анализ — это то, что вы должны обязательно попробовать. Вы его полюбите, как только найдете пару ляпов в свежем коде.
Возможности PVS-Studio
Будем кратки. Невозможно лаконично описать все диагностики, которые имеются в PVS-Studio. Полный список диагностик и их подробное описание можно найти в документации: Описание диагностируемых ошибок. Ограничимся таблицей, в которой диагностики сгруппированы по типам. Некоторые диагностики входят более, чем в одну группу. Дело в том, что деление весьма условно. Например, опечатка может приводить к использованию неинициализированной памяти. Некоторым ошибкам наоборот места в таблице не нашлось, слишком они специфические. Тем не менее, таблица в целом дает представление о функциональности статического анализатора кода (см. рисунок 8).
Рисунок 8. Возможности PVS-Studio.
Как видите, анализатор максимально проявляет себя в таких областях, как поиск ошибок, возникших из-за опечаток, Copy-Paste. Хорошо диагностирует проблемы, которые связаны с безопасностью кода.
Как всё это работает на практике, можно узнать, заглянув в базу ошибок. Мы собираем в эту базу все ошибки, которые нашли, проверяя различные Open-Source проекты.
PVS-Studio является средством статического тестирования защищённости приложений (Static Application Security Testing, SAST) — анализатор может выявлять потенциальные уязвимости в коде проекта и показывать соответствующий идентификатор ошибки в определенной классификации.
PVS-Studio поддерживает следующие классификации ошибок:
Рисунок 9. Контекстное меню и пример вывода CWE-кодов.
Либо в меню сверху (Extensions > PVS-Studio > Display CWE Codes in Output Window)
Рисунок 10. Меню расширения.
Диагностики MISRA включаются отдельно в настройках:
Рисунок 11. Список определяемых ошибок.
Подробнее про эти классификации можно прочитать здесь.
Проверка проектов из командной строки
Программа имеет множество параметров, но для начала нам понадобится только 3 из них:
Рисунок 12. Вывод программы PVS-Studio_Cmd.exe
После выполнения мы получим plog-файл с отчетом, путь до которого мы указали в параметрах запуска. Этот отчет можно преобразовать в другие форматы с помощью утилиты PlogConverter.exe, а для просмотра отчета в IDE достаточно двойного клика по plog-файлу в проводнике.
Также файл отчета можно открыть в меню расширения по пути Extensions > PVS-Studio > Open/Save > Open Analysis Report…
Подробную информацию по утилите и ее параметрам можно найти в документации.
Подавление ложных предупреждений
Некоторые сообщения, выданные анализатором, неизбежно будут ложными. С этим ничего нельзя поделать. Статический анализатор это всего лишь программа, которая не обладает искусственным интеллектом и не может точно определить, нашла она настоящую ошибку или нет.
Для борьбы с ложными срабатываниями в анализаторе предусмотрен набор различных механизмов. Подробно они описаны в следующих разделах документации:
Заключение
Конечно, здесь мы рассказали не всё об инструменте. Если рассказывать всё, то статья превратится в документацию. Цель была показать, как легко можно работать с инструментом в рамках среды Visual Studio. Про другие среды и режимы работы можно почитать в документации и других статьях, расположенных на нашем сайте. Там, кстати, много интересного для программистов. Заходите побродить.
Cтоит отметить, что PVS-Studio работает не только в среде от Microsoft. Мы также поддерживаем язык Java, можем работать под Linux и macOS, интегрироваться в CMake и много чего еще. Подробнее можно узнать в документации.
Желаю вам безбажного кода и надеюсь, что вам понравится PVS-Studio. Если возникнут какие-то вопросы, то мы всегда поможем и подскажем. Пишите нам.
Дополнительные ресурсы:
Если хотите поделиться этой статьей с англоязычной аудиторией, то прошу использовать ссылку на перевод: Sergey Larin. PVS-Studio for Visual Studio