工具簡介
1. Android Lint
Android Lint 是在ADT 16提供的新工具靶擦，它是一個代碼掃描工具啄清，專為Android程序代碼設計藏古，能夠幫助我們識別代碼結構存在的問題，檢查內容包括但不限于如下的方面
- 布局性能（以前是 layoutopt工具烟阐，可以解決無用布局搬俊、嵌套太多、布局太多）
- 未使用到資源
- 不一致的數(shù)組大小
- 國際化問題（硬編碼）
- 圖標的問題（重復的圖標蜒茄，錯誤的大邪蕖）
- 可用性問題（如不指定的文本字段的輸入型）
- manifest文件的錯誤
更多的檢查規(guī)則請查看 http://tools.android.com/tips/lint-checks。
Lint是命令工具檀葛，它已經(jīng)完美的集成到了Eclipse和Android Stuido中玩祟，我們可以方便的使用。
2. FindBugs / QA Pulgin
FindBugs 一個靜態(tài)分析工具驻谆，它檢查類或者JAR 文件卵凑，將字節(jié)碼與一組缺陷模式進行對比以發(fā)現(xiàn)可能的問題。對一些Android特性的內容無法檢查胜臊，如AndroidManifest文件勺卢。 Findbugs自帶檢測器，其中有60余種Bad practice象对，80余種Correctness黑忱，1種 Internationalization，12種Malicious code vulnerability勒魔，27種Multithreaded correctness甫煞，23種Performance，43種Dodgy冠绢。同時提供自己配置檢查規(guī)則（屬于高級功能）抚吠。檢查內容包含但不限于如下方面：
- NullPoint空指針檢查
- 沒有合理關閉資源
- 字符串相同判斷錯（==，而不是equals）
QA Pulgin 集合了FindBugs弟胀、PMD楷力、CheckStyle的組合插件工具喊式，其中：
- FindBugs 如上所述，基于Bug Patterns概念萧朝，查找javabytecode（.class文件）中的潛在bug
- PMD 是一款采用BSD協(xié)議發(fā)布的Java程序代碼檢查工具岔留，可以做到檢查Java代碼中是否含有未使用的變量、是否含有空的抓取塊检柬、是否含有不必要的對象等
- CheckStyle 是SourceForge下的一個項目献联，提供了一個幫助JAVA開發(fā)人員遵守某些編碼規(guī)范的工具。它能夠自動化代碼規(guī)范檢查過程何址，從而使得開發(fā)人員從這項重要里逆，但是枯燥的任務中解脫出來。
FindBug 和 QA Pulgin 作為開發(fā)插件已覆蓋了Eclipse和Android Stuido头朱，可方便使用运悲。
活躍度:
- Android Studio版本FindBugs 下載量 606446
- Android Studio版本QA Plug 下載量 137272
3. 360火線
360火線 是360公司推出的anroid App免費的靜態(tài)掃描工具龄减，目前火線掃描規(guī)則共覆蓋六大類项钮，約61個檢查規(guī)則：
- APP安全檢查
- 代碼規(guī)范檢查
- 內存泄露檢查
- 日志輸出檢查
- 空指針檢查
- 多線程檢查
詳細內容查看 http://magic.#/document.html
目前有jar包版本（即使用命令行）和Android Studio插件版本，使用方便希停，同時支持Gradle部署和Jenkins集成烁巫。
活躍度： android studio版本插件下載量 3751次
4. Godeyes
Godeyes專注于無線App代碼Crash隱患靜態(tài)掃描，主要有以下特性：
- 掃描規(guī)則提取來自APP的典型crash案例代碼宠能，并且在持續(xù)增加中亚隙。
- 覆蓋已有無線代碼掃描工具(findbugs、PMD违崇、checker等)的掃描盲區(qū)阿弃。
- 準確率不低于90%。
- 支持Android羞延、iOS APP代碼掃描渣淳。
- 客戶端工具安裝部署快捷，Eclipse插件版本伴箩、Mac一鍵式命令行版本入愧。
- 掃描規(guī)則可定制，提供多種格式的掃描報告嗤谚。
目前棺蛛，Android客戶端的掃描規(guī)則為25條，iOS的掃描規(guī)則為20條?巩步，其活躍度：
- Android Eclipse插件版本 下載量 2502
- Android Jenkins版本 下載量 2298
- Android Studio版本 下載量 1743
- iOS版本 下載量 1526
5. Infer
Infer 是一個靜態(tài)程序分析工具,可以對 Java旁赊、C 和 Objective-C 程序進行分析，此工具是用 OCaml 寫成的椅野。
Infer 最早部署在 Facebook 內部终畅，用于發(fā)布移動應用之前對每一行代碼進行分析钞钙，目前 Facebook 使用此工具分析所開發(fā)的 Android、iOS 應用,包括 Facebook Messenger声离、Instagram 和其他一些應用芒炼。 Infer 不僅僅用于移動應用程序的分析，還可以分析 C术徊、Java 等不是 Android 系統(tǒng)的代碼本刽。Infer 著重于發(fā)現(xiàn)一些諸如空指針的訪問、資源和內存的泄露等導致手機程序崩潰或性能嚴重下降的問題赠涮。
目前版本中, Infer 在Android系統(tǒng)的檢查方面主要是以下兩個方面
- Resource leak （資源導致的內存泄露子寓，如資源打開但是沒有關閉）
- Null dereference (空指針異常)
活躍度：GitHub 上 star 數(shù)為6778（考慮到大部分人都是直接用而不去star，?所以6778已是一個很高的關注量）
比較與結論
1. 比較
| 名稱 | 檢查規(guī)則覆蓋 | 問題發(fā)現(xiàn)率 | 社區(qū)認可度 | 業(yè)界使用范圍 |
|---|---|---|---|---|
| Android Lint | 專為Android程序制定笋除，檢查規(guī)則范圍廣斜友，較為全面的覆蓋了Android應用的方方面面 | ?沒能覆蓋對SQL注入的檢查 | ?極高，已成為Androd SDK的一部分 | 用廣泛垃它，作為基礎的檢查工具 |
| Findbugs/ QA Plug | 從Java語言的角度對類和.class文件進行掃描, 未能覆蓋Android其他特性?的檢查鲜屏，如Layout文件 | 沒能覆蓋對SQL注入的檢查，?沒能覆蓋?android的非java代碼的內容檢查 | 高国拇，?Android Studio和Eclipse的插件評分均在4分以上洛史，同時被下載次數(shù)有十多萬以上 | 廣泛，但不是所以使用者都是用于檢查Android程序 |
| 360火線 | 是對Android Lint?規(guī)則的補充酱吝，結合360自身產(chǎn)品的情況也殖，制定了有限的檢查規(guī)則 | 可以覆蓋SQL注入檢查，但?檢測規(guī)則有限 | 較低务热，多為國內用戶忆嗜，?android stuido上的插件下載?量為 3000左右 | 已知的產(chǎn)品多為360自身的產(chǎn)品內容 |
| Godeyes | 覆蓋已有代碼掃描工具(findbugs、PMD崎岂、checker等)的掃描盲區(qū) | ?掃描規(guī)則有限 | 較低捆毫，多為國內用戶?android stuido上的插件下載?量為 2500左右 | 無有效?數(shù)據(jù)說明 |
| Infer | 僅覆蓋兩項內容 （Resource leak 、Null dereference） | ?有限该镣，諸多android特性的內容未覆蓋 | 高冻璃， gitHub上?star數(shù)為6778 | 除Facebook已將其納入App開發(fā)流程的一部分外，?也被用于檢測其他知名產(chǎn)品损合，但無詳細數(shù)據(jù)省艳。 |
2. 結論
首先，Android Lint 是必須使用的嫁审，其內容涵蓋了大部分Android的檢測內容跋炕；其次，Infer和FindBugs/QA Plug都是在Java?語言層面上的檢查律适，且Infer覆蓋內容有限辐烂，所以FindBugs更適合作為Android Lint的??在Java語言層的補充遏插；最后360火線和Godeyes?都是實踐總結規(guī)則對Android?應用進行檢查，其內容與Android Lint 和 FindBugs/QA Plug均不重復纠修，所以有必要同時使用兩者作為補充進行代碼檢測胳嘲。
