工具簡介
1. Android Lint
Android Lint 是在ADT 16提供的新工具，它是一個代碼掃描工具，專為Android程序代碼設(shè)計，能夠幫助我們識別代碼結(jié)構(gòu)存在的問題，檢查內(nèi)容包括但不限于如下的方面
- 布局性能（以前是 layoutopt工具，可以解決無用布局、嵌套太多、布局太多）
- 未使用到資源
- 不一致的數(shù)組大小
- 國際化問題（硬編碼）
- 圖標(biāo)的問題（重復(fù)的圖標(biāo)，錯誤的大?。?/li>
- 可用性問題（如不指定的文本字段的輸入型）
- manifest文件的錯誤
更多的檢查規(guī)則請查看 http://tools.android.com/tips/lint-checks。
Lint是命令工具，它已經(jīng)完美的集成到了Eclipse和Android Stuido中，我們可以方便的使用。
2. FindBugs / QA Pulgin
FindBugs 一個靜態(tài)分析工具，它檢查類或者JAR 文件，將字節(jié)碼與一組缺陷模式進(jìn)行對比以發(fā)現(xiàn)可能的問題。對一些Android特性的內(nèi)容無法檢查，如AndroidManifest文件。 Findbugs自帶檢測器，其中有60余種Bad practice，80余種Correctness，1種 Internationalization，12種Malicious code vulnerability，27種Multithreaded correctness，23種Performance，43種Dodgy。同時提供自己配置檢查規(guī)則（屬于高級功能）。檢查內(nèi)容包含但不限于如下方面：
- NullPoint空指針檢查
- 沒有合理關(guān)閉資源
- 字符串相同判斷錯（==，而不是equals）
QA Pulgin 集合了FindBugs、PMD、CheckStyle的組合插件工具，其中：
- FindBugs 如上所述，基于Bug Patterns概念，查找javabytecode（.class文件）中的潛在bug
- PMD 是一款采用BSD協(xié)議發(fā)布的Java程序代碼檢查工具，可以做到檢查Java代碼中是否含有未使用的變量、是否含有空的抓取塊、是否含有不必要的對象等
- CheckStyle 是SourceForge下的一個項目，提供了一個幫助JAVA開發(fā)人員遵守某些編碼規(guī)范的工具。它能夠自動化代碼規(guī)范檢查過程，從而使得開發(fā)人員從這項重要，但是枯燥的任務(wù)中解脫出來。
FindBug 和 QA Pulgin 作為開發(fā)插件已覆蓋了Eclipse和Android Stuido，可方便使用。
活躍度:
- Android Studio版本FindBugs 下載量 606446
- Android Studio版本QA Plug 下載量 137272
3. 360火線
360火線 是360公司推出的anroid App免費(fèi)的靜態(tài)掃描工具，目前火線掃描規(guī)則共覆蓋六大類，約61個檢查規(guī)則：
- APP安全檢查
- 代碼規(guī)范檢查
- 內(nèi)存泄露檢查
- 日志輸出檢查
- 空指針檢查
- 多線程檢查
詳細(xì)內(nèi)容查看 http://magic.#/document.html
目前有jar包版本（即使用命令行）和Android Studio插件版本，使用方便，同時支持Gradle部署和Jenkins集成。
活躍度： android studio版本插件下載量 3751次
4. Godeyes
Godeyes專注于無線App代碼Crash隱患靜態(tài)掃描，主要有以下特性：
- 掃描規(guī)則提取來自APP的典型crash案例代碼，并且在持續(xù)增加中。
- 覆蓋已有無線代碼掃描工具(findbugs、PMD、checker等)的掃描盲區(qū)。
- 準(zhǔn)確率不低于90%。
- 支持Android、iOS APP代碼掃描。
- 客戶端工具安裝部署快捷，Eclipse插件版本、Mac一鍵式命令行版本。
- 掃描規(guī)則可定制，提供多種格式的掃描報告。
目前，Android客戶端的掃描規(guī)則為25條，iOS的掃描規(guī)則為20條?，其活躍度：
- Android Eclipse插件版本 下載量 2502
- Android Jenkins版本 下載量 2298
- Android Studio版本 下載量 1743
- iOS版本 下載量 1526
5. Infer
Infer 是一個靜態(tài)程序分析工具,可以對 Java、C 和 Objective-C 程序進(jìn)行分析，此工具是用 OCaml 寫成的。
Infer 最早部署在 Facebook 內(nèi)部，用于發(fā)布移動應(yīng)用之前對每一行代碼進(jìn)行分析，目前 Facebook 使用此工具分析所開發(fā)的 Android、iOS 應(yīng)用,包括 Facebook Messenger、Instagram 和其他一些應(yīng)用。 Infer 不僅僅用于移動應(yīng)用程序的分析，還可以分析 C、Java 等不是 Android 系統(tǒng)的代碼。Infer 著重于發(fā)現(xiàn)一些諸如空指針的訪問、資源和內(nèi)存的泄露等導(dǎo)致手機(jī)程序崩潰或性能嚴(yán)重下降的問題。
目前版本中, Infer 在Android系統(tǒng)的檢查方面主要是以下兩個方面
- Resource leak （資源導(dǎo)致的內(nèi)存泄露，如資源打開但是沒有關(guān)閉）
- Null dereference (空指針異常)
活躍度：GitHub 上 star 數(shù)為6778（考慮到大部分人都是直接用而不去star，?所以6778已是一個很高的關(guān)注量）
比較與結(jié)論
1. 比較
| 名稱 | 檢查規(guī)則覆蓋 | 問題發(fā)現(xiàn)率 | 社區(qū)認(rèn)可度 | 業(yè)界使用范圍 |
|---|---|---|---|---|
| Android Lint | 專為Android程序制定，檢查規(guī)則范圍廣，較為全面的覆蓋了Android應(yīng)用的方方面面 | ?沒能覆蓋對SQL注入的檢查 | ?極高，已成為Androd SDK的一部分 | 用廣泛，作為基礎(chǔ)的檢查工具 |
| Findbugs/ QA Plug | 從Java語言的角度對類和.class文件進(jìn)行掃描, 未能覆蓋Android其他特性?的檢查，如Layout文件 | 沒能覆蓋對SQL注入的檢查，?沒能覆蓋?android的非java代碼的內(nèi)容檢查 | 高，?Android Studio和Eclipse的插件評分均在4分以上，同時被下載次數(shù)有十多萬以上 | 廣泛，但不是所以使用者都是用于檢查Android程序 |
| 360火線 | 是對Android Lint?規(guī)則的補(bǔ)充，結(jié)合360自身產(chǎn)品的情況，制定了有限的檢查規(guī)則 | 可以覆蓋SQL注入檢查，但?檢測規(guī)則有限 | 較低，多為國內(nèi)用戶，?android stuido上的插件下載?量為 3000左右 | 已知的產(chǎn)品多為360自身的產(chǎn)品內(nèi)容 |
| Godeyes | 覆蓋已有代碼掃描工具(findbugs、PMD、checker等)的掃描盲區(qū) | ?掃描規(guī)則有限 | 較低，多為國內(nèi)用戶?android stuido上的插件下載?量為 2500左右 | 無有效?數(shù)據(jù)說明 |
| Infer | 僅覆蓋兩項內(nèi)容 （Resource leak 、Null dereference） | ?有限，諸多android特性的內(nèi)容未覆蓋 | 高， gitHub上?star數(shù)為6778 | 除Facebook已將其納入App開發(fā)流程的一部分外，?也被用于檢測其他知名產(chǎn)品，但無詳細(xì)數(shù)據(jù)。 |
2. 結(jié)論
首先，Android Lint 是必須使用的，其內(nèi)容涵蓋了大部分Android的檢測內(nèi)容；其次，Infer和FindBugs/QA Plug都是在Java?語言層面上的檢查，且Infer覆蓋內(nèi)容有限，所以FindBugs更適合作為Android Lint的??在Java語言層的補(bǔ)充；最后360火線和Godeyes?都是實踐總結(jié)規(guī)則對Android?應(yīng)用進(jìn)行檢查，其內(nèi)容與Android Lint 和 FindBugs/QA Plug均不重復(fù)，所以有必要同時使用兩者作為補(bǔ)充進(jìn)行代碼檢測。
