sonar错误总结

小咪咪 2022-01-23 01:23 1035阅读 0赞

**题记：**  
最近在开发项目中，突然技术经理进行使用`sonar`或者`findBugs`进行检查代码，通过这些bug与漏洞进行修复，然后根据修复的漏洞进行总结，另外也找网上的sonar修复漏洞的技术进行总结。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMyNDQ3MzAx_size_16_color_FFFFFF_t_70] 由于项目涉及到保密性所有打上马赛克。

**一、什么是sonar**  
Sonar 是一个用于代码质量管理的开放平台。通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具。  
与持续集成工具（例如 `Hudson/Jenkins` 等）不同，Sonar 并不是简单地把不同的代码检查工具结果（例如 FindBugs，PMD 等）直接显示在 Web 页面上，而是通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。  
在对其他工具的支持方面，Sonar 不仅提供了对 IDE 的支持，可以在 Eclipse 和 IntelliJ IDEA 这些工具里联机查看结果；同时 Sonar 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 Sonar。、

**二、安装部署**  
其源代码需要使用分布式版本控制软件 Git 进行检出（`Check Out`），命令行方式如下：

git clone git://github.com/SonarSource/sonar.git

本文主要介绍 Sonar 的使用方法，只需要到 Sonar 网站下载最近的发行包即可  
下载 zip 包后，直接解压到任意目录，由于 Sonar 自带了 Jetty 6 的应用服务器环境，所以不需要额外的安装就可以使用，值得一提的是 Sonar 也支持部署在 `Apache Tomcat` 应用服务器中。  
在 `windows 环境中，直接启动 Soanr 的 bin 目录下 windows-x86-64\StartSonar.bat` 即可。  
然后在浏览器中访问：[http://localhost:9000/][http_localhost_9000] 默认账户：`admin/admin`  
在`linux`环境 使用命令`bin/linux-x86-64/sonar.sh start`启动服务

**三、配置使用**  
参考此博客：[https://segmentfault.com/a/1190000009782863][https_segmentfault.com_a_1190000009782863]

**四、错误总结**  
**4.1、**  
非空判断

logger.info("check category name, tenantId={},ids={}", tenantId, ids.toArray().toString());

解决办法

logger.info("",Arrays.toString( ids.toArray()));

**4.2、**  
list非空判断

List<RoleMenu> relationList = new ArrayList<RoleMenu>(templateList.size());

解决办法

if (GenericValidator.isNullOrBlank(templateList)) {
                logger.error("");
    }

这是我遇到最多的问题。以下在网上找了一些很好的sonar扫描出来的bug进行总结。  
**4.3、**  
`Close this"FileInputStream" in a "finally" clause.`连接，流，文件等需要在使用后关闭。这些操作都应该放在 finally 代码块里面，防止异常情况发生而没有调用关闭资源的代码。或者是、fileInputStream 有可能为 null，有潜在的空指针异常存在。应该加上非空判断。加上非空判断后就是最标准的 IO 流处理了。

FileInputStream fileInputStream = null;
            try {
                // do sth
                fileInputStream = new FileInputStream("222");
            } catch (FileNotFoundException e) {
                e.printStackTrace();
            } finally {
                fileInputStream.close();
            }

解决办法

FileInputStream fileInputStream = null;
            try {
                // do sth
                fileInputStream = new FileInputStream("222");
            } catch (FileNotFoundException e) {
                e.printStackTrace();
            } finally {
                if(fileInputStream != null){
                     fileInputStream.close();
                }
            }

**4.4、**  
精度错误  
Equality tests should not be made with floating point value

if (result == num) //result和num均为double 之间比较会有精度损失

解决办法

BigDecimal data1 = new BigDecimal(totalArea);
        BigDecimal data2 = new BigDecimal(s1);
        int num = data1.compareTo(data2);
        //num =0 相等  >0前者大于后者 ，反之 <0 前者小于后者

**4.5、**  
This class overrides “equals()” and should therefore also override “hashCode()”.

public boolean equals(Object obj){...}  //需要添加对应的hashCode方法

解决办法

可以添加一个最简单的hashCode方法　　
    public int hashCode() {return 0;}

**4.6、**  
Synchronize on a new “Object” instead

synchronized ("实例化") {...}   //里边必须是对象

解决办法

解决： private Object obj ="实例化"；
    synchronized (obj ) {...}

**4.7、**  
Close this"FileInputStream" in a “finally” clause.

解决办法

在finally中关闭FileInputStream，主要是关闭方式不对，finally代码块中，应该要对每个stream进行单独关闭，而不能统一写在一个try-catch代码中。

**4.8、**  
A"NullPointerException" could be thrown; “tom” is nullablehere

解决办法

先判断或者先实例化，再访问里面的属性或者成员。

**4.9、**  
Makethis IP “127.0.0.1” address configurable

解决办法

不要把IP地址写在此类中，应该在对应的系统文件或者相应的配置文件中配置

**4.10、**  
Either log or rethrow this exception.

解决办法

把对应的输出写成Logger.error("aaa“);的形式

**4.11、**  
使用字符索引 : String.indexOf(char) is faster than String.indexOf(String).

if(splitArray[i].indexOf("}")!=-1)

解决办法

if(splitArray[i].indexOf('}')!=-1)

**4.12、**  
在进行比较时，字符串文本应该放在左边 : Move the “0” string literal on the left side of this string comparison.

if(enNameArray[1].equals("0")){ 
      enName = enNameArray[2];
     }

解决办法

if("0".equals(enNameArray[1])){ }

**4.13、**  
应该使用Collection.isEmpty()判断空集合 : Use isEmpty() to check whether the collection is empty or not.

if(names.size() == 0){ }

解决办法：

if(names.isEmpty()){}

**4.14、**  
类型转换方法Use “Integer.parseInt” for this string-to-int conversion类型转换的方法有很多种方式，

String num = "12.2";
    float f = new Float(num).floatValue();  // Noncompliant; creates & discards a Float

解决办法

String num = "12.2";
    float f = Float.parseFloat(num);

**4.15、**  
待续

**五、结束**  
`Sonar` 为代码的质量管理提供了一个平台，对传统的代码静态检测如 `PMD、FindBugs` 等工具进行整合，可以说是目前最强大的代码质量管理工具之一。

1 List<A> list = new ArrayList<为空，不用写A>；
    2 try catch 中 catch的exception需记录Exception信息，eg:Logger.error(e.getMessage(),e);
    3 return x; return x+3; return (x+3)/2;   不用写成 return (x); return (x+3); return ((x+3)/2);
    4 if for while switch 等嵌套循环，复杂度不能超过10，否则代码不易读；
    5 判断List 是否为空的写法： list!=null &&list.size()>0 标注红色部分应改为 list.isEmpty()；
    6 注释的代码尽量删掉，整洁；
    7 单线程的方法中用StringBuilder > StringBuffer、StringBuilder单线程中的性能比StringBuffer高；
    8 不复用变量或对象 eg：
    String str1 = "abc";
    String str2 = "efg";
    str1 = str1 + str2;
    这里需创建新的变量String str3 = str1 +str2;
    9 返回空时，需写成 return Collection.emptyXXX; 而不是return null;
    10 空的方法包括构造方法，需要文字注释；
    11 重写方法时，不要漏掉@Override;
    12 变量名不能与类名一样。

参考：[https://www.cnblogs.com/Jenny22/p/6495260.html][https_www.cnblogs.com_Jenny22_p_6495260.html]  
参考：[https://www.sonarqube.org/][https_www.sonarqube.org]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMyNDQ3MzAx_size_16_color_FFFFFF_t_70]: /images/20220123/79df49bd09b04fd19458463f4561c714.png
[http_localhost_9000]: http://localhost:9000/
[https_segmentfault.com_a_1190000009782863]: https://segmentfault.com/a/1190000009782863
[https_www.cnblogs.com_Jenny22_p_6495260.html]: https://www.cnblogs.com/Jenny22/p/6495260.html
[https_www.sonarqube.org]: https://www.sonarqube.org/