커피 브레이크 #94. 5개의 정적 Java 코드 분석기 검토. Java 힙 및 스택 메모리 오류

5개의 정적 Java 코드 분석기 검토

출처: DZone 개발자는 개발 초기에 잘못된 코드를 찾아 수정할 수 있는 정적 코드 분석기를 비롯한 다양한 프로그램이 필요한 경우가 많습니다. 코드 검토는 이러한 노력에 있어 매우 귀중한 도구이지만 때로는 검토하고 검토해야 하는 코드 검토자의 양이 엄청납니다. 이것은 많은 시간과 노력이 필요합니다. 이는 또한 검토자가 프로그램 작동에 중요한 코드 조각에만 주의를 기울이는 경우가 많다는 사실로 이어집니다. 정적 분석 도구는 모든 코드를 동일한 정확도로 검사합니다. IntelliJ IDEA와 호환되는 여러 코드 분석기를 구성했습니다. 이것이 귀하의 업무에 도움이 되기를 바랍니다.

내장 IntelliJ IDEA 분석기

IntelliJ IDEA에 내장된 정적 Java 코드 분석기는 전문 정적 분석 도구보다 결코 열등하지 않습니다. 의심스럽거나 어수선하거나 잘못된 코드 조각에 대한 검색은 데이터 흐름 분석 및 패턴 일치와 같은 다양한 정적 분석 방법을 사용하여 수행됩니다. IntelliJ IDEA에는 수많은 검사가 있습니다. 사실, 그들 중 많은 사람들이 항상 오류를 정확하게 보고하지는 않습니다. 오히려 코드가 엉성하거나 깔끔한 대안으로 변경할 가능성이 있음을 나타냅니다. "Inspections → Java"를 조금 공부한 후, 한 가지 사실을 깨달았습니다. 예상 오류, 수치 문제, 직렬화 문제 범주의 검사에서는 실제 오류를 발견할 가능성이 더 높습니다. 어떤 경우든 테스트를 직접 수행하고 어떤 테스트가 프로젝트에 유용할지 결정해야 합니다. 정적 분석은 코드 편집 모드에서 수행되므로 IntelliJ IDEA에서는 오류가 발생한 후 몇 초 내에 오류를 수정할 수 있습니다. 편집기는 잘못된 코드 조각을 즉시 강조 표시합니다. 정말 편리하고 멋지네요! 또한 선택한 코드에 대해 "Alt + Enter" 조합을 사용하면 상황에 맞는 메뉴를 통해 오류를 수정하는 옵션 중 하나를 선택할 수 있습니다. 또한 특정 검사를 실행하는 이유를 확인할 수도 있습니다. 경우에 따라 검색 시간이 단축됩니다. "분석 → 코드 확인"을 선택하여 수동으로 분석을 실행할 수 있습니다. 또는 “분석 → 이름별 검사 실행”을 통해 개별 검사를 실행할 수도 있습니다. 이를 수행하기 전에 분석 범위(프로젝트, 모듈 또는 개별 파일에 대한)를 지정하십시오. 이런 방식으로 분석을 실행하면 복잡성으로 인해 편집 모드에서 작동하지 않는 일부 검사를 사용할 수 있게 됩니다. 분석 후 결과는 별도의 창에 카테고리/디렉터리별로 그룹화됩니다. 이 창에서 특정 검증 트리거로 이동할 수 있습니다. IntelliJ에서는 분석 결과를 HTML 및 XML 형식으로만 저장할 수 있습니다. 불행하게도 제 생각에는 IDE 자체에서 발견된 문제를 해결하는 것이 가장 편리합니다. 메모. 대부분의 정적 분석기 기능은 무료 IntelliJ IDEA Community Edition에서 사용할 수 있습니다.

SonarJava

SonarJava 는 SonarSource의 Java용 정적 코드 분석기입니다. 기능 목록에는 다음이 포함됩니다.

• 150개 이상의 오류 감지 규칙;
• 코드 냄새를 인식하기 위한 350개 이상의 규칙;
• 잠재적인 취약점을 탐지하기 위한 40개 이상의 규칙 ;
• Maven, Gradle, Ant, Eclipse, IntelliJ IDEA, VS Code와의 통합
• 맞춤형 진단 규칙으로 확장 가능
• 전문 SAST 도구: 대부분의 진단 규칙은 CWE , CERT , OWASP 에 따라 컴파일됩니다 .

다양한 IDE( SonarLint 플러그인을 통해 )와 SonarQube 에서 별도로 분석을 실행할 수 있습니다 . SonarLint는 내장된 IntelliJ IDEA 코드 분석기와 함께 작동할 수 있습니다. 강조 표시된 코드 부분 위로 마우스를 가져가면 두 분석기의 경고를 자주 볼 수 있습니다. 물론 별도의 창에서 경고를 볼 수도 있습니다. 전반적으로 SonarJava를 다양한 방식으로 실행할 수 있는 기능이 매력적입니다. 이를 통해 개발자는 코드를 작성할 때 도구를 자유롭게 선택할 수 있습니다.

FindBugs/SpotBugs

안타깝게도 FindBugs는 오랫동안 업데이트되지 않았습니다. 마지막 안정 릴리스는 2015년에 출시되었습니다. 그러나 아마도 가장 유명한 무료 정적 Java 코드 분석기이기 때문에 우리는 여전히 그것을 기억하고 사용합니다. Java 개발자에게 정적 분석에 대해 문의하면 아마도 즉시 FindBugs를 떠올릴 것입니다. 오픈 소스 분석기 SpotBugs는 버려진 FindBugs의 논리적 연속체가 되었습니다. FindBugs의 모든 장점과 단점이 있습니다. 이것이 좋은지 나쁜지는 시간이 말해 줄 것입니다. 그 동안 분석기 커뮤니티에서는 이를 적극적으로 개발하고 있습니다. SpotBugs의 주요 기능:

• 400개 이상의 오류 감지 규칙;
• Ant, Maven, Gradle, Eclipse, IntelliJ IDEA에 통합;
• 사용자 정의 진단 규칙으로 확장 가능합니다.

의심스러운 코드를 찾으려면 패턴 일치와 데이터 흐름 분석이라는 동일한 방법론이 사용됩니다. 분석기는 멀티스레딩, 성능, 취약점, 코드 난독화 등과 관련된 다양한 유형의 오류를 감지합니다. IntelliJ IDEA에서 경고 창은 다음과 같습니다. 경고는 범주, 클래스, 디렉터리 및 신뢰 수준별로 그룹화할 수 있습니다. 모든 진단 규칙에 대한 경고와 문서를 동시에 볼 수 있습니다. 분석은 수동으로 시작됩니다. 분석 후에는 문제가 있는 모든 코드 조각이 IntelliJ IDEA 및 SonarLint의 다른 경고와 함께 강조 표시됩니다. 그러나 문제가 있습니다. 파일에 대한 변경 사항을 반영하도록 경고를 업데이트하려면 분석을 다시 실행해야 합니다. 또한 많은 권고 경고가 있으므로 적극적으로 사용하기 전에 분석기를 구성해야 합니다.

PVS-스튜디오

PVS-Studio는 오픈 소스 라이브러리 Spoon을 기반으로 합니다. 소스 코드를 입력으로 사용하고 의미 정보를 사용하여 잘 설계된 AST 모델을 구축합니다. 이 모델을 기반으로 분석기는 다음과 같은 최신 기술을 사용합니다.

• 데이터 흐름 분석;
• 상징적 퍼포먼스;
• 메소드 주석
• 패턴 기반 분석.

현재 분석기는 다양한 코드 결함을 식별하는 105개 이상의 진단 규칙을 사용합니다. 여기에는 오타 수정, Null 참조 이름 변경, 연결할 수 없는 코드, 범위를 벗어난 배열 인덱스, 메서드 계약 사용 위반 및 기타 오류가 포함됩니다. 여기에서 모든 진단 규칙 기능을 확인할 수 있습니다 . PVS-Studio의 주요 기능:

• 분석기는 실제 오류를 찾는 데 중점을 둡니다.
• CLI 버전 외에도 IntelliJ IDEA, Maven, Gradle, Jenkins, SonarQube와의 통합 도 있습니다.
• 증분 모드에서 분석기를 실행하는 기능
• 분석기는 프로젝트를 Java 8에서 최신 버전으로 마이그레이션할 때 Java SE API와의 잠재적인 호환성 문제를 식별합니다.
• PVS-Studio는 보고서를 사용자에게 친숙한 다양한 형식(JSON, XML, HTML, TXT)으로 변환합니다.
• 전문 SAST 도구: 대부분의 진단 규칙은 CWE , CERT , OWASP 에 따라 컴파일됩니다 .

PMD

PMD 는 오픈 소스 정적 분석기입니다. 사용되지 않는 변수, 빈 블록, 불필요한 객체 생성 및 기타 문제 등 일반적인 개발 오류를 식별합니다. 분석기는 소스 코드를 입력으로 사용합니다. 현재 PMD는 프로세스당 하나의 소스 파일을 분석하므로 분석의 완전성에 제한이 있습니다. PMD 작성자는 분석 전에 프로젝트를 조립할 것을 권장합니다. 이를 통해 분석 중인 코드에 사용된 유형에 대한 정보를 추출할 수 있습니다. PMD의 주요 기능:

• 다양한 IDE(IntelliJ IDEA, Eclipse, NetBeans) 및 빌드 시스템(Maven, Gradle, Ant)과 통합
• SARIF, CSV, IDEA, JSON, 텍스트(기본값), XML, HTML, TextColor 등 다양한 분석기 보고서 형식을 지원합니다.
• 300 개가 넘는 진단 규칙 템플릿이 있습니다. 카테고리: 코딩 스타일, 모범 사례, 버그, 멀티스레딩, 성능 등
• 코드에서 중복을 감지하는 PMD와 함께 CPD(복사-붙여넣기 감지기)를 제공합니다.

모든 진단 규칙을 살펴보면 PMD는 코딩 스타일 문제를 해결하고 명백한 오류를 포착하는 데 더 중점을 둡니다. 진단 규칙은 서로 충돌할 수 있으므로 분석기를 사용하기 전에 구성해야 합니다. IntelliJ IDEA용 플러그인을 통해 분석을 실행할 수도 있지만 분석을 위해 개별 파일을 선택할 수는 없습니다. 경고 창은 다음과 같습니다. 제 생각에는 경고 작업은 파일과 명확하지 않은 메시지별로 그룹화할 수 없기 때문에 그리 편리하지 않습니다. 경고 위로 마우스를 가져갈 때만 나타납니다.

결론

물론 위에서 설명한 분석기 외에도 다른 솔루션이 있습니다. 유료(Coverity, Klockwork, JArchitect) 프로그램과 무료(Error Prone, Infer, Checkstyle) 프로그램이 모두 있습니다. 그들은 모두 한 가지에 초점을 맞춥니다: 부정확하거나 잠재적으로 버그가 있는 코드가 프로덕션에 도달하는 것을 방지하는 것입니다. 나는 이 작업에 어떤 분석기가 더 적합한지 판단할 권리가 없습니다. 그러나 데이터 흐름 분석 및 기호 실행을 개발하는 분석기는 코드에서 실제 버그를 발견할 가능성이 더 높습니다. 정적 분석기를 선택하는 경우 다음 사항에 주의하세요.

• 다양한 IDE로의 통합;
• 조립 시스템에 통합;
• 서버에서 분석기를 쉽게 시작할 수 있습니다.
• 코드 편집 모드에서 오류를 감지하는 기능;
• 경고를 편리하게 처리하는 기능;
• SAST 오리엔테이션;
• 거짓 긍정 비율;
• 구성의 복잡성.
• 모든 장단점을 조합하면 귀하가 최고라고 생각하는 정적 분석기의 수가 많아질 것입니다.

참고: IntelliJ IDEA를 자주 사용하기 때문에 IntelliJ IDEA에 통합된 예제를 제공했습니다.

Java 힙 및 스택 메모리 오류

출처 : DZone 이제 Java 힙이나 스택 메모리에서 발생할 수 있는 주요 오류를 살펴보겠습니다. 하지만 먼저 이 두 용어가 무엇을 의미하는지 기억해 보겠습니다.

• 힙 메모리는 Java 객체가 저장되는 특수한 메모리 영역입니다.
• 스택 메모리는 메소드 호출 시 변수를 저장하기 위한 임시 메모리 영역이다.

힙 메모리 문제를 설명하는 주요 예외는 java.lang.OutOfMemoryError 입니다 .

Java 힙 공간

이 오류는 Java 프로그램이 힙 메모리 영역에 새 개체를 할당하지 못한 경우 발생합니다.

GC 오버헤드 한도를 초과했습니다.

Java 프로그램은 가비지 수집에 너무 많은 시간을 소비합니다. 이 오류는 가비지 수집이 프로그램 시간의 98%를 차지하고 메모리 공간의 2% 미만을 복구할 때 나타납니다.

public class OutOfMemoryErrorDemo {
    public static void main(String[] args) {
        int i = 0;
        List<String> stringList = new ArrayList<>();
        while (i < Integer.MAX_VALUE) {
            i++;
            String generatedString = new String( "Some string generated to show out of memory error example " + i);
            stringList.add(generatedString);
        }
    }
}

여기서 stringList에는 생성된 문자열에 대한 참조가 포함되어 있으므로 가비지 수집기는 생성된 문자열을 메모리에서 제거할 수 없지만 애플리케이션에서 다른 모든 가비지를 제거하려고 시도합니다. 그러나 이것만으로는 충분하지 않습니다.

요청한 어레이 크기가 VM 제한을 초과함

힙에 충분한 공간이 없을 때 배열을 할당하려고 하면 오류가 발생합니다.

public class OutOfMemoryErrorDemo {
    public static void main(String[] args) {
        // we try to create too long array
        long[] array = new long[Integer.MAX_VALUE];
    }
}

메타스페이스

클래스 데이터 정보를 위한 메타공간 영역에 공간이 없으면 이 메시지와 함께 예외가 발생합니다.

스왑 공간 없음(이유로 인한 요청 크기 바이트. 스왑 공간이 부족합니까?)

기본 힙에 메모리를 할당할 수 없거나 크기가 부족한 경우 오류가 나타납니다.

이유 stack_trace_with_native_method

원시 Java 인터페이스 또는 원시 메소드가 힙에 메모리를 할당하지 못했습니다. StackOverFlowError - 메서드 호출이 너무 많은 경우. 일반적으로 내부에 재귀가 포함된 메서드에 의해 예외가 발생합니다.

public class StackOverFlowErrorDemo {

    public static void main(String[] args) {
        recursiveMethod(2);
    }

    public static int recursiveMethod(int i) {
      	// it will never stop and it allocates all stack memory
        return recursiveMethod(i);
    }
}