基于静态分析的应用代码质量管理体系研究及应用.docVIP

基于静态分析的应用代码质量管理体系研究及应用 　　【摘要】 本文在分析电信运营商在应用代码质量管理方面存在的问题的基础上，结合静态分析技术、管理体系、代码质量等核心技术及理念，提出了基于静态分析的应用代码质量管理体系，并重点描述了该理论在省公司进行试点验证的成果。最后对该理论的应用前景进行了简要展望。 　　【关键词】 代码质量 电信业务支撑系统 静态分析 管理体系 评估模型 质量规范 　　随着软件项目规模越来越大，代码质量审计已变得非常重要，原始的作坊式的人工代码审计逐渐成为项目的瓶颈，如何有效地进行代码质量管理成为运营商面临的重要课题。 　　一、电信运营商对应用代码质量管理体系的需求 　　应用代码质量管理体系建设的需求驱动源于企业运营标准化、精细化管控的内在驱动和市场竞争的外在驱动。企业内部运营的需求驱动主要源于风险控制要求、系统标准化建设及企业精细化运营管理所要求的系统支撑要求。市场竞争的外在驱动源于市场竞争形势的变化以及客户对业务系统高质量服务能力的要求。 　　内在方面，当前阶段企业在交付软件系统或验收软件系统时，除了验证软件所实现的功能，另一个重要的方面就是考察软件代码本身的质量。 　　外在方面，随着电信行业运营商竞争的日益激烈，客户对服务的要求也不断提高，能否提供高品质的客户服务是我们重要的竞争筹码。确保系统保持稳定、健壮、高效支撑是业务系统支撑人员的首要任务，这就对业务系统的代码质量提出了更高的要求。 　　针对电信运营商业务支撑系统的现状，本文提出的一种基于静态分析的应用代码质量管理体系，从系统源代码的角度出发，通过制定应用代码质量规范、建立评估模型、同时提出一套应用代码质量管理流程利用代码规范和评估模型对应用代码质量元素进行度量，评价和管理软件交付时的代码质量，从源头上把控业务系统质量。 　　二、应用代码质量管理体系的研究内容 　　2.1 静态分析技术 　　静态分析技术是指在不执行源代码的情况下，对代码中组件关系和方法调用、代码复杂度以及代码编写方法进行评估的过程。程序的流程提供了对代码结构的理解，静态分析的目的是确保程序代码依从公司和业界的标准。 　　静态分析的类型可以分为以下四类：代码审查、结构分析、软件度量、数据流分析。代码审查的内容包括：编码风格的常规检查、基于每一个类发现萌芽状态的bugs。结构分析主要能够发现交互类的依赖关系、发现循环依赖、hubs等。软件度量是指度量软件复杂度、大量标准度量指标，如代码行统计， McCabbe， Halstead度量集等。数据流分析主要检查代码符号执行、很好的发现资源和内存的泄漏。 　　静态分析的过程通常包含两个阶段：运行工具阶段和人工审查代码阶段。如图1所示，按照事先定制好的规则，对系统源代码进行扫描分析，得到原始扫描结果，这一过程通常是借助静态代码扫描工具完成；接下来的阶段是人工参与审查代码，分析、确认、筛选结果，并通过汇总整理得到最终的结果。 　　软件开发过程中的一个重要原则就是缺陷发现的时间越早越好，如果能控制软件缺陷，就可以得到高质量的软件。静态分析工具根据软件的结构、内容或文档来评价软件系统，而不需要执行程序。因此，可以较早地发现程序代码中的缺陷，使得后面的软件开发阶段可以着重分析复杂功能以及算法上的错误。 　　2.2 管理体系概述 　　管理是指通过计划、组织、领导、控制及创新等手段，结合人力、物力、财力、信息等资源，以期高效的达到组织目标的过程。管理是由计划、组织、指挥、协调及控制等职能为要素组成的活动过程。广义的管理是指应用科学的手段安排组织社会活动，使其有序进行。狭义的管理是指为保证一个单位全部业务活动而实施的一系列计划、组织、协调、控制和决策的活动。本文指的是狭义的管理。 　　2.3 代码质量 　　软件质量是指软件系统或系统中的软件部分的质量，即满足用户需求。它包含两个方面，功能（Functional）质量和结构（Structural）质量。软件功能质量反映了软件符合功能要求规格的能力；软件结构质量反映了软件满足支撑功能性的非功能够性需求的能力，如鲁棒性、可维护性。结构质量是通过对软件的内部结构、源代码进行评估，即检查代码有没有遵守现有成熟的规范；而软件功能质量更多的是依赖软件功能测试计量。 　　代码质量是程序代码质量特性的总体，它是一个抽象的概念，无法直接度量。代码质量审计是对应用程序源代码进行系统性检查的工作。它的目的是为了找到应用程序在开发阶段存在的一些缺点或者程序逻辑错误，分析并找到可能引发的风险漏洞，并提供代码修订措施和建议，避免程序漏洞被非法利用给企业带来不必要的风险。代码质量维度（dimensions of quality）：代码质量的子特性，是衡量代码质量的不同方面，是对代码质量的结构化细分，如