Overzicht code analyse tools

Code analyse tools controleren de broncode van computerprogramma’s op problemen en risico’s. Deze tools kijken als het ware onder de motorkap van software om te zien of alles in orde is. Het gebruik van dit soort tools is aanbevolen als een aanvulling op normale testen. Dit is een overzicht van de beste en meestgebruikte tools en advies hoe deze in te zetten.

Voordelen code-analyse-tools

Het is al jaren bekend dat code reviews de beste manier zijn om de kwaliteit van software te verbeteren. Helaas is dit een heel arbeidsintensief proces dat er veel projecten bij inschiet. Gelukkig valt een deel van de review te automatiseren. Er zijn veel soorten fouten of risico’s die automatisch herkend kunnen worden door software-analyse-tools. Als deze tools op de juiste manier worden gebruikt kunnen ze veel waarde toevoegen. Het grootste voordeel is gemak voor ontwikkelaars: een goede tool levert meteen inzicht en wijst precies aan waar in de code risico’s zitten.

Keuze van de juiste tool (free en open source)

Het grootste probleem van static code analysis tools is dat er geen overkoepelende tool is die voor iedereen de beste is. Heel veel tools zijn taalspecifiek, omdat elke taal zijn eigen risico’s kent en of een tool geschikt is hangt voor een ontwikkelteam hangt af van de talen die er worden gebruikt. Om te helpen met de keuze hebben we de meest volwassen tools verzameld en bijgevoegd voor welke talen ze geschikt zijn. In de onderstaande tabel zijn de aanbevolen open-source of gratis tools weergegeven. Deze tools zijn allemaal gratis te gebruiken en kunnen dus zonder extra kosten geïntegreerd worden in het ontwikkelproces en door elke ontwikkelaar worden gebruikt.

Keuze van betaalde tools en review-diensten

Er zijn verschillende leveranciers geweest die hebben gezien dat er voor veel programmeertalen niet voldoende gratis tools zijn. Deze leveranciers hebben daarom eigen betaalde tools die op meer programmeertalen van toepassing zijn. Vaak bieden ze ook aanvullende diensten rond hun analyse-tools, om zo klanten te helpen de tools op de juiste manier in te zetten. Helaas zijn er wel kosten verbonden aan onderstaande tools en diensten. Het is daardoor minder makkelijk deze tools aan alle developers te geven. Vaak worden deze tools in een testproces ingezet. De onderstaande tabel laat de meest-gebruikte tools zien.

Meer tools

Voor het maken van deze lijst is gebruik gemaakt van langere lijsten met nog meer tools. Vaak zijn de weggelaten tools nog in ontwikkeling of heel specialistisch. Voor wie ze toch wil zien, dit zijn de belangrijkste lijsten:

• De US government NIST security tools list
• De Wikipedia lijst van static analysis tools
• De lijst van door CERT gemaakte analyse tools

Tips voor invoering

Het is belangrijk om niet alleen na te denken over de tool, maar over doelen, proces en inrichting. De doelen moeten voldoende streng zijn voor de toepassing, maar niet te streng omdat dit ten koste gaat van de ontwikkelsnelheid. Bij veel tools kan men kiezen op welke soorten bevindingen wordt gezocht door middel van een configuratiebestand. Hierin wordt vastgelegd wat als risico wordt gezien en wat niet. Het is belangrijk dat iedereen in een team dezelfde instellingen gebruik.

Naast doelafspraken zijn er procesafspraken nodig. De tools zijn goed in het opsporen van symptomen (ook wel ‘code smells’ geheten) maar niet van fundamentele problemen. Maak daarom afspraken dat bevindingen niet worden weggepoetst maar dat er gezocht wordt naar de oorzaken en er indien nodig code omgeschreven wordt (‘refactoring’ geheten in scrum). Op deze manier is de tool niet een controle-middel maar juist een informatiemiddel voor ontwikkelaars.