Какой статический анализатор кода вы использовали в последнем проекте?

В последнем проекте основным инструментом статического анализа был SonarQube (вместе с SonarScanner). Он был интегрирован в pipeline CI/CD для непрерывного контроля качества кода.

Преимущества и возможности SonarQube:

• Комплексный анализ: Обнаружение багов, уязвимостей безопасности, "запахов кода" (code smells) и дублирования.
• Интеграция с CI/CD: Автоматический запуск анализа при каждом коммите или пул-реквесте.
• Отслеживание технического долга: Позволяет планировать работу по рефакторингу.
• Мультиязычность: Поддержка Java, C#, JavaScript, Python, Go и многих других.

Пример интеграции с Maven:

<plugin>
  <groupId>org.sonarsource.scanner.maven</groupId>
  <artifactId>sonar-maven-plugin</artifactId>
  <version>3.9.1.2184</version>
</plugin>

Запуск анализа: mvn clean verify sonar:sonar.

Типичные проверки:

1. Критические ошибки: Риски NullPointerException, утечки ресурсов.
2. Уязвимости: SQL-инъекции, небезопасная десериализация.
3. Архитектурные проблемы: Нарушения принципов SOLID, высокая цикломатическая сложность.
4. Стиль кода: Соглашения по именованию, избыточность.

Важный нюанс: Правила в SonarQube требуют тонкой настройки под контекст проекта, чтобы минимизировать ложные срабатывания и сосредоточиться на реальных проблемах.