Nghiên cứu về các công cụ phát hiện lỗi phần mềm để giảm thiểu cảnh báo sai

Tài liệu nghiên cứu Tiểu luận nghiên cứu tổng hợp các công cụ phát hiện lỗi phần mềm để giảm cảnh báo sai, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về .

• Tác giả: Lê Thế Huy
• Người hướng dẫn: PGS. Trương Anh Hoàng
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Công Cụ Phát Hiện Lỗi Phần Mềm: Giải Pháp Giảm Cảnh Báo Sai
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI VÀ CÁC CÔNG CỤ SỬ DỤNG PHÂN TÍCH MÃ NGUỒN
• 1.1. Giới thiệu đề tài
• 1.2. Các công cụ được sử dụng trong nghiên cứu
• 1.3. Công cụ phân tích SonarQube
• 1.4. Công cụ phân tích HuntBugs
• 1.5. Công cụ phân tích PMD
• 1.6. Công cụ phân tích IntelliJ IDE
• 4. CHƯƠNG 4: KẾT LUẬN
• Tài liệu tham khảo

Tóm tắt

I. Giới thiệu đề tài

Trong bối cảnh phát triển phần mềm hiện đại, công cụ phát hiện lỗi phần mềm trở thành một phần không thể thiếu trong quy trình phát triển. Chất lượng sản phẩm công nghệ ngày càng được yêu cầu cao, cả từ phía nhà phát triển và người sử dụng. Người sử dụng mong muốn sản phẩm hoạt động trơn tru, hạn chế lỗi và đảm bảo an toàn thông tin. Ngược lại, nhà phát triển cần đảm bảo rằng mã nguồn của họ không chỉ hoạt động hiệu quả mà còn dễ bảo trì và mở rộng. Để đạt được điều này, việc phân tích mã nguồn tĩnh là một giải pháp hữu hiệu. Nghiên cứu này sẽ tập trung vào việc tổng hợp và đánh giá các công cụ phân tích mã tĩnh nhằm giảm thiểu cảnh báo sai trong quá trình phát triển phần mềm.

1.1. Các công cụ được sử dụng trong nghiên cứu

Nghiên cứu này sử dụng một số công cụ phát hiện lỗi phổ biến như SonarQube, SpotBugs, PMD, IntelliJ IDE, VCG, HuntBugs và Infer. Những công cụ này đều là mã nguồn mở và hỗ trợ phân tích mã nguồn tĩnh, giúp phát hiện lỗi trước khi ứng dụng được đưa vào chạy thực tế. Mỗi công cụ có những ưu điểm và hạn chế riêng, và việc kết hợp chúng có thể mang lại hiệu quả cao hơn trong việc phát hiện lỗi và cải thiện chất lượng mã nguồn. Việc sử dụng các công cụ này không chỉ giúp phát hiện lỗi mà còn hỗ trợ trong việc kiểm tra chất lượng phần mềm, từ đó nâng cao độ tin cậy và bảo mật cho sản phẩm.

II. Phân tích các công cụ phát hiện lỗi

Mỗi công cụ phát hiện lỗi phần mềm có những phương pháp và kỹ thuật riêng để phân tích mã nguồn. SonarQube, ví dụ, sử dụng phương pháp phân tích tĩnh để phát hiện lỗi, mã nguồn thừa và lỗ hổng bảo mật. Công cụ này hỗ trợ nhiều ngôn ngữ lập trình và cung cấp các chỉ số đo lường chất lượng mã nguồn. Bên cạnh đó, HuntBugs và PMD cũng có những chức năng tương tự nhưng với các cách tiếp cận khác nhau. HuntBugs, mặc dù đã ngừng phát triển, vẫn có thể phát hiện một số lỗi trong mã Java. PMD lại nổi bật với khả năng phát hiện các vấn đề trong mã nguồn như mã không sử dụng và các biểu thức phức tạp. Việc hiểu rõ cách thức hoạt động của từng công cụ sẽ giúp nhà phát triển lựa chọn được công cụ phù hợp nhất cho dự án của mình.

2.1. Đánh giá hiệu suất của các công cụ

Đánh giá hiệu suất của các công cụ phân tích mã nguồn là một phần quan trọng trong nghiên cứu này. Các công cụ sẽ được so sánh dựa trên khả năng phát hiện lỗi, độ chính xác của cảnh báo và khả năng tích hợp vào quy trình phát triển phần mềm. Kết quả cho thấy rằng việc sử dụng kết hợp nhiều công cụ có thể giảm thiểu cảnh báo sai và nâng cao chất lượng mã nguồn. Việc này không chỉ giúp tiết kiệm thời gian cho nhà phát triển mà còn đảm bảo rằng sản phẩm cuối cùng đạt tiêu chuẩn chất lượng cao nhất.

III. Kết luận và khuyến nghị

Nghiên cứu này đã chỉ ra rằng việc sử dụng công cụ phát hiện lỗi phần mềm là cần thiết để nâng cao chất lượng sản phẩm công nghệ. Các công cụ như SonarQube, PMD và IntelliJ IDE không chỉ giúp phát hiện lỗi mà còn hỗ trợ trong việc kiểm tra chất lượng phần mềm. Để giảm thiểu cảnh báo sai, nhà phát triển nên xem xét việc kết hợp nhiều công cụ khác nhau trong quy trình phát triển. Điều này không chỉ giúp phát hiện lỗi hiệu quả hơn mà còn đảm bảo rằng mã nguồn được duy trì ở mức độ cao nhất về chất lượng và bảo mật.

3.1. Khuyến nghị cho các nhà phát triển

Các nhà phát triển nên thường xuyên cập nhật và sử dụng các công cụ phân tích mã nguồn mới nhất để đảm bảo rằng họ luôn có những công cụ tốt nhất trong tay. Việc đào tạo và nâng cao kỹ năng sử dụng các công cụ này cũng rất quan trọng. Ngoài ra, việc chia sẻ kinh nghiệm và kết quả từ việc sử dụng các công cụ này trong cộng đồng phát triển phần mềm sẽ giúp nâng cao nhận thức và cải thiện quy trình phát triển phần mềm nói chung.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển phần mềm hiện đại, chất lượng sản phẩm ngày càng được đặt lên hàng đầu với yêu cầu giảm thiểu lỗi và tăng cường bảo mật. Theo ước tính, các lỗi phần mềm không chỉ ảnh hưởng đến hiệu suất mà còn tiềm ẩn nguy cơ mất an toàn thông tin, gây thiệt hại lớn cho doanh nghiệp và người dùng. Nghiên cứu này tập trung vào việc tổng hợp và đánh giá các công cụ phân tích mã nguồn tĩnh nhằm phát hiện lỗi phần mềm, từ đó giảm thiểu cảnh báo sai và nâng cao hiệu quả kiểm thử. Mục tiêu cụ thể là phân tích hiệu suất phát hiện lỗi của 7 công cụ phổ biến: SonarQube, HuntBugs, PMD, IntelliJ IDE, VCG, SpotBugs và Infer, trên bộ dữ liệu kiểm thử Juliet phiên bản 1.3, bao gồm hơn 64.000 trường hợp thử nghiệm trong Java và C/C++. Phạm vi nghiên cứu tập trung vào các lỗi phần mềm thuộc 12 lớp điểm yếu theo chuẩn CWE, được thực hiện tại Đại học Công nghệ, Đại học Quốc gia Hà Nội trong năm 2020. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc lựa chọn và kết hợp công cụ phù hợp để nâng cao độ chính xác và độ bao phủ lỗi, góp phần cải thiện chất lượng phần mềm và giảm chi phí bảo trì.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu dựa trên hai lý thuyết chính trong phân tích mã nguồn tĩnh: phân tích luồng dữ liệu (Data Flow Analysis - DFA) và cây cú pháp trừu tượng (Abstract Syntax Tree - AST). DFA giúp xác định các luồng dữ liệu trong chương trình, phát hiện các lỗi liên quan đến biến và tài nguyên, trong khi AST biểu diễn cấu trúc cú pháp của mã nguồn để áp dụng các luật kiểm tra lỗi. Ngoài ra, nghiên cứu sử dụng chuẩn CWE (Common Weakness Enumeration) làm cơ sở phân loại và đánh giá các loại lỗi phần mềm, giúp chuẩn hóa kết quả và so sánh hiệu suất các công cụ. Các khái niệm chính bao gồm: TP (True Positive), FP (False Positive), FN (False Negative), Recall (độ bao phủ lỗi), Precision (độ chính xác phát hiện lỗi), Discrimination và Discrimination Rate (khả năng phân biệt lỗi chính xác).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm với bộ dữ liệu kiểm thử Juliet Test Suite phiên bản 1.3, bao gồm 64.099 trường hợp thử nghiệm trong C/C++ và 28.881 trong Java, được thiết kế để kiểm tra các công cụ phân tích tĩnh. Cỡ mẫu là toàn bộ bộ dữ liệu này, đảm bảo tính đại diện và độ tin cậy. Các công cụ SonarQube, HuntBugs, PMD, IntelliJ IDE, VCG, SpotBugs và Infer được cài đặt và chạy phân tích trên bộ dữ liệu. Kết quả đầu ra được chuẩn hóa thành định dạng CSV với các trường: đường dẫn tệp lỗi, dòng bắt đầu lỗi, dòng kết thúc lỗi. Dữ liệu được phân tích bằng công cụ do nghiên cứu viên phát triển, tính toán các chỉ số TP, FP, FN, Recall, Precision, Discrimination và Discrimination Rate. Quá trình nghiên cứu diễn ra trong năm 2020 tại Đại học Công nghệ, Đại học Quốc gia Hà Nội, với timeline gồm cài đặt công cụ, chạy thử nghiệm, chuẩn hóa dữ liệu, phân tích và tổng hợp kết quả.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu suất phát hiện lỗi đơn công cụ không theo chuẩn CWE: IntelliJ IDE đạt độ bao phủ cao nhất với 86%, trong khi SonarQube có độ chính xác phát hiện lỗi cao nhất là 60%. HuntBugs và SpotBugs có hiệu suất thấp hơn đáng kể, lần lượt 47% và 1% về độ chính xác và độ bao phủ.

2. Phân tích theo từng lớp điểm yếu CWE: IntelliJ IDE thể hiện độ bao phủ lỗi vượt trội, đạt tới 99% trong nhiều lớp như chất lượng mã nguồn, quản lý luồng kiểm soát, mã hóa và tính ngẫu nhiên. SonarQube dẫn đầu về độ chính xác phát hiện lỗi, ví dụ đạt 66% trong lớp Injection và 89% trong khởi tạo và đóng tài nguyên.

3. Phân tích tổ hợp công cụ không theo chuẩn CWE: Sự kết hợp của SonarQube và IntelliJ IDE nâng độ bao phủ lên tới 97%, trong khi tổ hợp SonarQube và SpotBugs đạt độ chính xác 60%. Các tổ hợp khác như SpotBugs + Infer cho kết quả thấp nhất với độ bao phủ 4% và độ chính xác 34%.

4. Phân tích tổ hợp công cụ theo chuẩn CWE: Tổ hợp SonarQube, IntelliJ IDE và PMD đạt độ bao phủ 100% trong nhiều lớp điểm yếu như xác thực và kiểm soát truy cập, chất lượng mã nguồn, và xử lý lỗi. Độ chính xác cao nhất 100% được ghi nhận ở tổ hợp SpotBugs + Infer trong lớp xác thực và kiểm soát truy cập.

Thảo luận kết quả

Kết quả cho thấy IntelliJ IDE và SonarQube là hai công cụ có hiệu suất nổi bật nhất về độ bao phủ và độ chính xác phát hiện lỗi, phù hợp cho việc phân tích mã nguồn tĩnh trong các dự án phần mềm quy mô lớn. Việc kết hợp các công cụ này giúp tận dụng ưu điểm của từng công cụ, giảm thiểu cảnh báo sai và tăng khả năng phát hiện lỗi đa dạng. So với các nghiên cứu trước đây, kết quả tương đồng với báo cáo của ngành về hiệu quả của SonarQube trong phát hiện lỗi bảo mật và chất lượng mã nguồn. Các công cụ như HuntBugs và SpotBugs có hiệu suất thấp hơn do hạn chế về ngôn ngữ hỗ trợ và khả năng cập nhật. Việc phân tích theo chuẩn CWE giúp đánh giá chi tiết hơn về khả năng phát hiện lỗi theo từng loại điểm yếu, từ đó hỗ trợ lựa chọn công cụ phù hợp với yêu cầu dự án. Dữ liệu có thể được trình bày qua biểu đồ cột so sánh độ bao phủ và độ chính xác của từng công cụ, cũng như bảng tổng hợp hiệu suất tổ hợp công cụ theo từng lớp CWE.

Đề xuất và khuyến nghị

1. Áp dụng tổ hợp công cụ SonarQube và IntelliJ IDE để phân tích mã nguồn tĩnh nhằm đạt độ bao phủ lỗi trên 95% và độ chính xác trên 60%, giúp giảm thiểu cảnh báo sai và nâng cao chất lượng phần mềm. Thời gian thực hiện: ngay trong giai đoạn phát triển và kiểm thử.

2. Tích hợp công cụ PMD bổ sung trong các dự án yêu cầu kiểm soát chất lượng mã nguồn và xử lý lỗi, nhằm tăng cường phát hiện các lỗi phức tạp và nâng cao độ chính xác. Chủ thể thực hiện: nhóm phát triển phần mềm và kiểm thử.

3. Chuẩn hóa quy trình phân tích mã nguồn theo chuẩn CWE để đảm bảo đánh giá toàn diện các loại lỗi phần mềm, từ đó tối ưu hóa việc lựa chọn công cụ và chiến lược kiểm thử. Thời gian thực hiện: trong vòng 3 tháng đầu triển khai dự án.

4. Phát triển công cụ tự động hóa phân tích và tổng hợp kết quả dựa trên định dạng chuẩn CSV, giúp giảm thiểu sai sót và tăng tốc độ xử lý dữ liệu phân tích lỗi. Chủ thể thực hiện: bộ phận nghiên cứu và phát triển phần mềm.

5. Đào tạo và nâng cao nhận thức cho lập trình viên về các công cụ phân tích tĩnh và các chuẩn mã hóa, nhằm giảm thiểu lỗi ngay từ giai đoạn viết mã, tiết kiệm chi phí sửa lỗi sau này. Thời gian thực hiện: liên tục trong quá trình phát triển phần mềm.

Đối tượng nên tham khảo luận văn

1. Nhà phát triển phần mềm: Nắm bắt các công cụ phân tích mã nguồn tĩnh hiệu quả để áp dụng trong quá trình phát triển, giúp phát hiện và sửa lỗi sớm, nâng cao chất lượng sản phẩm.

2. Chuyên gia kiểm thử phần mềm: Sử dụng kết quả nghiên cứu để lựa chọn và kết hợp công cụ phù hợp, tối ưu hóa quy trình kiểm thử tự động, giảm thiểu cảnh báo sai và tăng độ chính xác.

3. Quản lý dự án công nghệ thông tin: Hiểu rõ hiệu suất các công cụ phân tích để đưa ra quyết định đầu tư công nghệ, phân bổ nguồn lực hợp lý, đảm bảo tiến độ và chất lượng dự án.

4. Nhà nghiên cứu và giảng viên trong lĩnh vực kỹ thuật phần mềm: Tham khảo phương pháp nghiên cứu, dữ liệu thực nghiệm và kết quả phân tích để phát triển các nghiên cứu tiếp theo hoặc giảng dạy chuyên sâu về phân tích mã nguồn tĩnh.

Câu hỏi thường gặp

1. Tại sao cần sử dụng nhiều công cụ phân tích mã nguồn tĩnh cùng lúc?
   Việc kết hợp nhiều công cụ giúp tận dụng ưu điểm riêng của từng công cụ, tăng độ bao phủ lỗi và độ chính xác phát hiện, giảm thiểu cảnh báo sai, từ đó nâng cao chất lượng phần mềm.

2. Bộ dữ liệu kiểm thử Juliet có vai trò gì trong nghiên cứu?
   Juliet là bộ dữ liệu chuẩn, chứa hàng chục nghìn trường hợp thử nghiệm với các lỗi phần mềm có chủ đích, giúp đánh giá khách quan và toàn diện hiệu suất các công cụ phân tích tĩnh.

3. Các chỉ số TP, FP, FN, Recall, Precision có ý nghĩa như thế nào?
   TP là số lỗi phát hiện đúng, FP là cảnh báo sai, FN là lỗi không được phát hiện. Recall đo độ bao phủ lỗi, Precision đo độ chính xác phát hiện lỗi, giúp đánh giá hiệu quả công cụ.

4. Công cụ nào có hiệu suất tốt nhất theo nghiên cứu?
   IntelliJ IDE có độ bao phủ lỗi cao nhất (86%), SonarQube có độ chính xác phát hiện lỗi cao nhất (60%). Kết hợp hai công cụ này mang lại hiệu quả phân tích tốt nhất.

5. Làm thế nào để áp dụng kết quả nghiên cứu vào thực tế?
   Các tổ chức nên tích hợp SonarQube và IntelliJ IDE vào quy trình phát triển, chuẩn hóa phân tích theo chuẩn CWE, đồng thời đào tạo nhân sự để sử dụng hiệu quả các công cụ này.

Kết luận

• Nghiên cứu đã đánh giá hiệu suất phát hiện lỗi của 7 công cụ phân tích mã nguồn tĩnh trên bộ dữ liệu Juliet 1.3 với hơn 90.000 trường hợp thử nghiệm.
• IntelliJ IDE và SonarQube là hai công cụ nổi bật nhất về độ bao phủ và độ chính xác phát hiện lỗi.
• Việc kết hợp các công cụ, đặc biệt là SonarQube và IntelliJ IDE, giúp nâng cao hiệu quả phân tích, giảm cảnh báo sai.
• Phân tích theo chuẩn CWE cho phép đánh giá chi tiết theo từng loại điểm yếu phần mềm, hỗ trợ lựa chọn công cụ phù hợp.
• Đề xuất áp dụng tổ hợp công cụ và chuẩn hóa quy trình phân tích để nâng cao chất lượng phần mềm trong thực tế phát triển.

Tiếp theo, các nhà phát triển và tổ chức nên triển khai áp dụng các công cụ được đề xuất, đồng thời tiếp tục nghiên cứu mở rộng để tối ưu hóa quy trình kiểm thử và phát hiện lỗi phần mềm. Hãy bắt đầu cải thiện chất lượng phần mềm của bạn ngay hôm nay bằng cách áp dụng các công cụ phân tích mã nguồn tĩnh hiệu quả!

Trích đoạn nội dung tài liệu

Chương 1. GIỚI THIỆU ĐỀ TÀI VÀ CÁC CÔNG CỤ SỬ DỤNG PHÂN TÍCH MÃ NGUỒN 1. Giới thiệu đề tài Hiện nay, chất lượng sản phẩm công nghệ ngày càng được yêu cầu cao cả đối với nhà phát triển và người sử dụng. Đối với người sử dụng họ muốn một sản phẩm trơn tru hạn chế lỗi hết mức có thể và đặc biệt phải thật sự bảo mật để đảm bảo an toàn thông tin của người sử dụng.

Còn đối với nhà phát triển, họ quan tâm đến sản phẩm của mình làm ra đã thực sự tốt chưa, đã kiểm soát được các vấn đề phát sinh như bảo mật, hiệu suất,… Bên cạnh đó là sản phẩm đó có dễ dàng bảo trì và phát triển thêm module có dễ dàng không? Để có thể trả lời cho các vấn đề trên thì nhà phát triển đã đưa vào phân tích mã nguồn tĩnh trong từng giai đoạn để có thể nắm được các phát sinh. Vậy họ phân tích mã nguồn tĩnh như nào để biết rằng trong các mã nguồn của mình có các sơ hở về bảo mật, mã nguồn của mình đã đảm bảo tăng hiệu suất xử lý chưa, mã nguồn đã đạt các chuẩn theo quy ước để dễ dàng bảo trì cho sau này chưa? Hiện nay có rất nhiều công cụ hỗ trợ phân tích mã nguồn tĩnh để giúp các nhà phát triển có câu trả lời cho những vấn đề trên. Trong phạm vi nghiên cứu luận văn có đề cập đến một số công cụ phổ biến sau: SonarQube, SpotBugs, PMD, IntelliJ IDE, VCG, HuntBugs, Infer. Trong luận văn sẽ phân tích kết quả của các công cụ đưa ra trên một số tiêu chí và từ đó đưa ra đánh giá công cụ nào hiện nay đáp ứng tốt nhất để có thể giải quyết được các vấn đề nêu trên của nhà phát triển.

Khi sử dụng các công cụ độc lập thì sẽ đưa ra kết quả như nào và khi kết hợp các công cụ lại thì chất lượng kiểm tra sẽ có cải thiện nhiều hơn không? Trong phạm vi nghiên cứu các câu hỏi trên sẽ được trả lời và sẽ đưa ra những gợi ý cho những người phát triển khi xây dựng một phần mềm. Các công cụ được sử dụng trong nghiên cứu Trong nghiên cứu 7 công cụ sau được lựa chọn: SonarQube, HuntBugs, PMD, IntelliJ IDE, VCG, Spotbugs, Infer là các công cụ mã nguồn mở dùng để phân tích mã nguồn tĩnh – Tức là phân tích mã nguồn đang ở trạng thái không hoạt động để từ đó đưa ra các lỗi để khắc phục trước khi đưa ứng dụng vào chạy thực tế. Các công cụ này ngoài việc sử dụng các chức năng được cung cấp người dùng có thể tích hợp các plugin do chính mình phát triển để cải thiện hiệu suất phát hiện lỗi và phù hợp với từng dự án thực tế. Các công cụ trên đều đang được sử dụng bởi các doanh nghiệp hoặc là những công cụ đã đã có những thành tích nhất định trong sự phát triển phần mềm của các doanh nghiệp từ các năm trước đây.

Sau đây luận văn sẽ giới thiệu và đi vào chi tiết từng công cụ. Công cụ phân tích SonarQube SonarQube (trước đây là Sonar) là một nền tảng nguồn mở được phát triển bởi SonarSource để kiểm tra chất lượng mã nguồn đó thực hiện các đánh giá một cách tự động. SonarQube sử dụng phương pháp phân tích tĩnh (static analysis of code) để phát hiện lỗi, mã nguồn thừa không có tác dụng và lỗ hổng bảo mật trên 20 ngôn ngữ lập 9 trình. Là một nền tảng mã nguồn mở giúp nhà phát triển có thể kiểm tra chất lượng mã nguồn của dự án.

SonarQube được viết bằng java nhưng hỗ trợ các ngôn ngữ khác nhau: PHP, Ruby, Java (bao gồm cả Android), C#, JavaScript, TypeScript, C/C++, Kotlin, Go, COBOL, PL/SQL, PL/I, ABAP, VB.NET, VB6, Python, RPG, Flex, Objective-C, Swift, CSS, HTML, và XML và hỗ trợ các cơ sở dữ liệu để lưu trữ kết quả: MySql, Postgresql. SonarQube hỗ trợ trong dự án việc đánh giá mã nguồn theo các tiêu chuẩn của từng ngôn ngữ có trong dự án. Bên cạnh đó có thể thực hiện những việc sau: • Phát hiện lỗi: phát hiện mã nguồn không dùng đến, các mã nguồn bị trùng lặp. • Tính toán độ bao phủ của mã nguồn theo kiểm thử đơn vị (Unit test - Unit- test coverage) – Đó là cách tính toán trong kiểm thử hộp trắng đảm bảo rằng tất cả các trường hợp trong mã nguồn đều được đảm bảo chạy qua khi chạy thực tế.

• Tính toán trong việc các mã nguồn được sử dụng mang tính tạm thời không được tối ưu để sử dụng lại và dễ bảo trì mã nguồn của hệ thống (Technical Debt) – Nghĩa là giải quyết vấn đề một cách nhanh chóng không theo quy chuẩn chỉ quan tâm đến kết quả. Giả sử đúng ra một giá trị phải khai báo là hằng số để sử dụng chung cho các trường hợp khác nhưng khi sử dụng lại dùng luôn giá trị chứ không khai báo biến hằng số. Ví dụ đoạn mã nguồn như sau: if (message == “Nhập thiếu thông tin”) {} thay vào đó có thể khai báo một biến là hằng số trong một lớp java như là Constant.java: public static final String MESSAGE = “Nhập thiếu thông tin”; Như vậy ở bất kỳ đâu cần sử dụng biến MESSAGE đều có thể sử dụng và khi thay đổi giá trị chỉ cần thay đổi ở một chỗ thay vì phải vào nhiều đoạn mã để thay đổi. • So sánh chất lượng mã nguồn so với các lần kiểm tra trước.

• Phát hiện lỗ hổng bảo mật. • Kiểm tra độ phức tạp của mã nguồn. Sonar gồm 4 thành phần [1]: Hình 1.1: 4 thành phần chính của SonarQube [1] ➢ Một máy chủ SonarQube bắt đầu với 3 tiến trình chính: • Máy chủ web cung cấp giao diện người dùng sử dụng và quản lý các phiên bản phân tích mã nguồn. 10 • Máy chủ tìm kiếm dựa trên Elasticsearch để sao lưu các tìm kiếm từ giao diện người dùng.

• Máy chủ phụ trách xử lý các báo cáo phân tích mã nguồn và lưu chúng vào cơ sở dữ liệu của SonarQube. ➢ Một cơ sở dữ liệu để lưu trữ: • Cấu hình của SonarQube (bảo mật, cài đặt plugin,. • Ảnh chụp nhanh chất lượng của dự án, chế độ xem,. ➢ Nhiều plugin SonarQube được cài đặt trên máy chủ, có thể bao gồm ngôn ngữ, SCM, tích hợp xác thực và quản trị.

➢ Một hoặc nhiều SonarScanners chạy trên máy chủ tích hợp liên tục và xây dựng để phân tích dự án. SonarQube Scanners là các plugin sẽ được chạy ở phía người dùng. Giúp thu thập thông tin từ dự án, sinh các “thuộc tính" cho việc phân tích. Sau đó nó sẽ chạy bộ phân tích SonarQube dựa trên các “thuộc tính” này.

Tương ứng với mỗi công cụ quản lý dựng (build management), sẽ có một Scanner tương ứng. SonarQube Plugins bao gồm các plugin về ngôn ngữ lập trình, quản lý phiên bản mã nguồn hoặc thậm chí là các plugin cho các công cụ phân tích mã nguồn khác như PMD, FindBugs, jDepend, Android Lint, CheckStyle, WebDriver,. Xem thêm tại đây: https://docs.org/display/PLUG/Plugin+Library. SonarQube hiện tại hỗ trợ cho 26 ngôn ngữ lập trình, do vậy sẽ có 26 plugin tương ứng để phân tích mã nguồn cho loại ngôn ngữ đấy.

Sau đây là hình ảnh minh họa – hình 1.2: Các ngôn ngữ SonarQube hỗ trợ Một số kỹ thuật phân tích mã nguồn tĩnh bậc cao được sử dụng như: khớp mẫu (pattern matching), phân tích luồng dữ liệu, thực thi tượng trưng. SonarQube công bố các luật (rules) cho các ngôn ngữ này dựa theo các chuẩn nổi tiếng như CWE, SANS, OWASP, MISRA, CERT. Các luật cho từng ngôn ngữ được định nghĩa ở trang https://rules. 11 Cách thức hoạt động của SonarQube: Hình 1.3: Cách thức hoạt động của SonarQube • Sau khi các thông tin dự án được quét, thu thập, xử lý ở máy khách (client).

• SonarQube Scanner sẽ gửi những thông tin này ở dạng tệp nén lên máy chủ (server) thông qua các API mà máy chủ cung cấp. Ngay khi máy chủ nhận được yêu cầu xử lý này, việc đầu tiên là SonarQube sẽ nạp toàn bộ mã nguồn và các tệp đi kèm nhờ plugin ngôn ngữ. Sau mã nguồn được nạp xong, các bộ phân tích sẽ lần lượt quét qua mã nguồn và tạo ra chỉ số đo lường hoặc phát hiện các vấn đề. Các bộ phân tích được chia làm hai loại là sensor và decorator.

Sensor là các bộ phân tích có thể tự tạo ra và cập nhật các chỉ số từ mã nguồn. Decorator là các bộ phân tích sử dụng chỉ số từ các sensor để phân tích sinh ra các chỉ số ở mức cao hơn. • Trong toàn bộ quá trình, dữ liệu phân tích sẽ được lưu vào cơ sở dữ liệu ở các bước: sau khi nhập bởi plugin ngôn ngữ, sau khi sensor phân tích, sau khi decorator phân tích. Lúc này người dùng có thể kiểm tra kết quả phân tích trên giao diện web.

Thay vì sử dụng trực tiếp các mã lỗi từ đã được định nghĩa sẵn từ các nguồn mở như CWE, OWASP,. SonarQube đã tạo ra những mã lỗi của riêng mình bằng cách tự tổng hợp lại từ nhiều nguồn khác nhau. Sau đó, các bộ lọc, bộ kiểm tra (luật) sẽ được viết ra dựa trên các mã lỗi riêng như vậy. Các luật của Java được triển khai tại org.

Để kiểm tra các lỗi có trong một tệp dữ liệu, SonarQube sẽ có hai phương pháp để thực hiện điều này [5]: • Sử dụng cú pháp cây và API cơ bản (Using syntax trees and API basics): Trước khi chạy bất kỳ quy tắc nào, SonarQube Java Analyzer phân tích tệp 12 Java đã cho và tạo ra cấu trúc dữ liệu tương đương: cú pháp cây (Syntax Tree). Mỗi cấu trúc của ngôn ngữ Java có thể được biểu diễn bằng một thành phần cụ thể cú pháp cây (Syntax Tree), chi tiết từng đặc điểm của nó. Mỗi cấu trúc này được liên kết với một giao diện riêng mô tả rõ ràng tất cả các đặc tính của nó. Khi tạo ra một luật, lớp IssuableSubscriptionVisitor sẽ được thực thi, nó cung cấp các phương thức hữu ích để làm rõ các vấn đề cũng như xác định chiến lược sẽ sử dụng khi phân tích một tệp.

Nó dựa trên cơ chế đăng ký (subscription mechanism), cho phép chỉ định loại cây mà luật này sẽ phản ứng với. Các nút mà cần đảm bảo sẽ được duyệt được chỉ định bởi một phương thức là nodesToVisit(). Từ đó SonarQube sẽ có được các thông tin để bắt đầu xác định các lỗi có trong mã nguồn hay thực thi các luật. • Sử dụng API (Using semantic API): Ngoài việc thực thi các luật dựa vào dữ liệu được cung cấp bởi cú pháp cây (syntax tree), thì SonarQube cung cấp càng nhiều thông tin hơn liên quan đến mã nguồn thông qua một mô hình ngữ nghĩa của mã.