Crucible是一个用于开发团队的代码检测工具，有了Crucible团队成员可以检查、注释、编辑代码，并记录结果。当发现一个潜在的代码问题，你可以挑选出这条代码行并做注释。

FindBugs是基于Bug Patterns概念，查找javabytecode（.class文件）中的潜在bug，主要检查bytecode中的bug patterns，如Null Point空指针检查、没有合理关闭资源、字符串相同判断错（==，而不是equals）等

Jupiter是什么？Jupiter 是一个开源的代码审查工具，是集成在 Eclipse 下执行代码审查工作一个很棒的工具Jupite的工作划分为3个阶段，分别是：IndividualPhase个人阶段，表示个人审查阶段。TeamPhase团队阶段，表示团队审查阶段。ReworkPhase修复阶段，表示修改Bug阶段。

什么是Code Review? Code Review（代码评审）也称代码复查，是指通过阅读代码来检查源代码与编码标准的符合性以及代码质量的活动。 Jupiter提供了代码行级别的评审批注功能，方便评审参与人了解具体是哪些行代码存在问题。同时，它也比较符合常规的评审流程，被评审人提供待审代码->评审人线下提出个人意见->组织讨论会讨论每个人提出的意见并确定问题及解决方案->被评审人修改代码->评审人查看修改情况。 Jupiter支持在一个项目中的多次评审，多人协同参与评审，支持多种配置库 如SVN、CVS等，支持简单的评审流程，支持问题跟踪。

PC-Lint工具当前最新版本为PC-LintV9.0，由GimpelSoftware公司发布()。PC-Lint在全球拥有广泛的客户群，许多大型的软件研发组织都把PC-Lint检查作为代码走查的第一道工序。PC-Lint不但能够对程式进行全局分析，识别没有被适当检验的数组下标，报告未被初始化的变量，警告使用空指针连同冗余的代码等，还能够有效地提出许多程序在空间利用、运行效率上的改进点。

CheckStyle是SourceForge下的一个项目，提供了一个帮助JAVA开发人员遵守某些编码规范的工具。它能够自动化代码规范检查过程，从而使得开发人员从这项重要，但是枯燥的任务中解脱出来。 CheckStyle检验的主要内容 ·Javadoc注释 ·命名约定 ·标题 ·Import语句 ·体积大小 ·空白 ·修饰符 ·块 ·代码问题 ·类设计 ·混合检查（包活一些有用的比如非必须的System.out和printstackTrace） 从上面可以看出，CheckStyle提供了大部分功能都是对于代码规范的检查，而没有提供象PMD和Jalopy那么多的增强代码质量和修改代码的功能。但是，对于团队开发，尤其是强调代码规范的公司来说，它的功能已经足够强大。

　　　质量是衡量一个软件是否成功的关键要素。而对于商业软件系统，尤其是企业应用软件系统来说，除了软件运行质量、文档质量以外，代码的质量也是非常重要的。软件开发进行到编码阶段的时候，最大的风险就在于如何保证代码的易读性和一致性，从而使得软件的维护的代价不会很高。

代码审查技术学习目标掌握代码分析和评审技术掌握自动化代码分析工具的使用建筑工程师的第一堂课-关注细节关注并弄清楚桥梁修建细节，否则你建起来的桥就有可能坍塌。-《安全编程–代码静态分析》1940年TacomaNarrows大桥600英尺的一段坍塌落入普吉特湾。代码审查对成本的节省黑盒测试的缺陷黑盒测试既不充分，而且效率也低。在系统完成之前，测试就无法开始，测试人员只有软件版本发布时才能拿到版本进行测试。int

本模块内容安全代码审查的目的是要识别出会导致安全问题和事故的不安全编码技术和漏洞。虽然可能很耗时，但代码审查必须是项目开发周期中的常规事件，这是因为在开发时修复安全缺陷会比以后在产品部署或维护修复周期中再做这项工作节省大量的成本和工作量。本模块帮助您审查使用Microsoft.NETFramework建立的托管ASP.NETWeb应用程序代码。本模块按功能区进行组织，并通过对所需审查的问题列出完整的列表，为您的代码审查过程提供方法指导和框架.

第一章、序言1.1背景1.2编码中的安全问题据美国IDC公司2006年对企业信息安全的调查和统计，70%以上的信息安全问题是因为应用系统自身的安全问题而遭到黑客的攻击，而不是因为网络;同时NIST对近几年的信息安全的事故的跟踪调查显示，几乎92%的信息安全事故都与软件相关。*在软件的编码阶段，主要软件安全问题来源于如下几个方面：软件自身的代码缺陷用户恶意输入不期望的连接在整个软件系统中主要体现在如下几个方面带来安全隐患：输入验证与表示API误用安全特征时间与状态错误处理代码质量封装和环境等安全漏洞.

一、概述代码审查（CodeReview）是消灭Bug最重要的方法之一，这些审查在大多数时候都特别奏效。由于代码审查本身所针对的对象，就是俯瞰整个代码在测试过程中的问题和Bug。并且，代码审查对消除一些特别细节的错误大有裨益，尤其是那些能够容易在阅读代码的时候发现的错误，这些错误往往不容易通过机器上的测试识别出来。1.1主要工作1、发现代码中的bug;　　2、从代码的易维护性、可扩展性角度考察代码的质量，提出修改建议。

静态检查:静态测试包括代码检查、静态结构分析、代码质量度量等。它可以由人工进行，充分发挥人的逻辑思维优势，也可以借助软件工具自动进行。代码检查代码检查包括代码走查、桌面检查、代码审查等，主要检查代码和设计的一致性，代码对标准的遵循、可读性，代码的逻辑表达的正确性，代码结构的合理性等方面；

Findbugs是一个在java程序中查找bug的程序，它查找bug模式的实例，也就是可能出错的代码实例，注意Findbugs是检查java字节码，也就是*.class文件。准确的说，它是寻找代码缺陷的，很多我们写的不好的地方，可以优化的地方，它都能检查出来。例如：未关闭的数据库连接。缺少必要的null check，多余的 null check，多余的if后置条件，相同的条件分支，重复的代码块，错误的使用了"=="，建议使用StringBuffer代替字符串连加等等。而且我们还可以自己配置检查规则(做哪些检查,不做哪些检查)，也可以自己来实现独有的校验规则(用户自定义特定的bug模式需要继承它的接口,编写自己的校验类,属于高级技巧)。

代码检查工具张琦2011.8三、静态语法检查二、代码检查工具分类一、代码检查的目的六、一个实例的分析报告五、衡量设计质量四、静态逻辑Bug检查代码检查的目的一个写代码的人提交的代码，我们对它“要求”什么呢讲述一个类(Class)自己的故事……---《实现模式》[美]KentBeck代码的易维护性，来源于代码结构、格式、命名等的统一代码检查的目的1、代码检查是“静态”过程2、代码检查重点关注编码的规范性，也关注代码错误3、代码检查以多种维度进行检查4、代码检查以量化的指标报告提供评价结论在代码提交前、执行前对代码进行质量保证

LOGISCOPE是法国Telelogic公司推出的专用于 软件质量保证和软件测试的产品。其主要功能是对 软件做质量分析和测试以保证软件的质量，并可做 认证和维护，特别是针对要求高可靠性和高安全性 的软件项目和工程。

本地环境：ubuntu11.4,tomcat 6.0,mysql

软件开发经历反省 我们代码中常见几类问题 Quality Metrics Tools CheckStyle PMD FindBugs JSLink

什么是FindBugs FindBugs是一个静态分析工具，它检查类或者JAR文件，将字节码与一组缺陷模式进行对比以发现可能的问题。有了静态分析工具，就可以在不实际运行程序的情况对软件进行分析。不是通过分析类文件的形式或结构来确定程序的意图，而是通常使用Visitor模式。静态分析工具承诺无需开发人员费劲就能找出代码中已有的缺陷。当然，如果有多年的编写经验，就会知道这些承诺并不是一定能兑现。尽管如此，好的静态分析工具仍然是工具箱中的无价之宝。FindBugs可以发现许多代码中间潜在的bug。

静态检查:静态测试包括代码检查、静态结构分析、代码质量度量等。它可以由人工进行，充分发挥人的逻辑思维优势，也可以借助软件工具自动进行。代码检查代码检查包括代码走查、桌面检查、代码审查等，主要检查代码和设计的一致性，代码对标准的遵循、可读性，代码的逻辑表达的正确性，代码结构的合理性等方面；可以发现违背程序编写标准的问题，程序中不安全、不明确和模糊的部分，找出程序中不可移植部分、违背程序编程风格的问题，包括变量检查、命名和类型审查、程序逻辑审查、程序语法检查和程序结构检查等内容。”。

FindBugs1.3.9规则整理Findbugs中把影响代码质量分为以下几个部分：Security关于代码安全性防护序号。