代码分析工具K7技术.pdfVIP

全面的软件静态分析 Klocwork K7 解决方案 1. Klocwork K7 简介 Klocwork 公司是软件静态分析领域技术和市场领先的厂商，全球拥有80 多个客户，其 中许多是全球财富100 强中的公司。 Klocwork 的K7 软件是Klocwork 公司基于专利技术分析引擎开发的，综合应用了多种 近年来最先进的静态分析技术，是出色的软件静态分析软件。K7 产品与其它同类产品相比， 具有很多出众的特征：K7 支持的语言种类多，能够分析C、C++和Java 代码；能够发现的 软件缺陷种类全面，既包括软件质量缺陷，又包括安全漏洞方面的缺陷，还可以分析对软件 架构、编程规则的违反情况；软件分析功能全面，既能分析软件的缺陷，又能进行可视化的 架构分析、优化；能够分析软件的各种度量；能够提供与多种主流 IDE 开发环境的集成； 能够分析超大型软件（上千万代码行）。 1.1. Klocwork K7 功能简介 K7 功能包括： 缺陷检测 安全漏洞检测 软件架构分析 软件度量分析 可定制的代码分析 开发人员IDE 集成 1.1.1. 缺陷检测 提供多角度的各种缺陷类型的分析。 自动化的缺陷检测功能易于使用，定制灵活，具有图形化的构建和报表管理图形界面， 拥有业界领先的消息过滤器，极具柔性的配置，和强大的学习调整知识库； Klocwork K7 能够分析C/C++和Java 代码，生成代码问题报告，能够发现的缺陷类型举 例（详细参见附录）： C/C++缺陷类型样例 Java 缺陷类型样例 空指针释放 效率错误（如：空的finalize 方法） 内存管理问题（如：内存泄漏） 可维护性问题（如：空的catch 从句） 数组越界 可靠性问题 (如资源泄漏) 未初始化数据使用 编码风格问题（如：在条件中赋值） 1.1.2. 安全漏洞检测 Klocwork 确信软件安全性是软件质量中一个重要的、并越来越受重视的方面。同样的， 所有的Klocwork 安全漏洞分析是基于市场领先的缺陷检测能力，从原来的缺陷检测分离出 来单独的安全漏洞检测和违反推荐的安全代码最佳实践的缺陷检测。 能够检测到的安全漏洞类型举例（详细参见附录） C/C++安全漏洞分类 Java 安全漏洞分类 访问控制缺陷 拒绝服务 缓冲区溢出 注入缺陷（如：SQL 注入、进程注入等） DNS 欺骗 未经验证的输入 忽略返回值 移动代码安全 注入缺陷 有漏洞的会话管理 不安全的存储 跨站点脚本 未经验证的用户输入 出错处理不当 有漏洞的访问控制 1.1.3. 软件架构分析 Klocwork K7 帮助组织为任何需要理解软件架构的项目进行准备工作，如：外包项目、 改造利用一段老的代码、或者向已有系统添加新功能。利用K7 ，架构师、管理人员和开发 人员能够重新获得对他们软件和产品的架构理解，并在进行任何代码修改的时候进行功能强 大的影响分析。当结合使用K7 的缺陷和安全漏洞检测，它提供一个强大的功能集帮助理解 在您软件架构异常和缺陷发生率的关联关系。 架构分析可以进行代码结构可视化展示，显示已有应用系统的物理结构，应用系统中的 依赖关系连同应用系统以及外部环境间的依赖关系。 软件架构师还可以利用架构分析快速发现复杂的架构问题（如循环依赖）、模型改进等 方面的内容，然后为开发人员产生一个可操作的变更列表。 在大型C/C++软件中，一个普遍的可维护性问题就是过于复杂的头文件结构，