Android代码静态检查（lintCheckstylektlintDetekt）

Posted 2023-01-06 静默加载

android代码静态检查（lint、Checkstyle、ktlint、Detekt）

在Android项目开发过程中，开发团队往往要花费大量的时间和精力发现并修改代码缺陷。

静态代码分析工具能够在代码构建过程中帮助开发人员快速、有效的定位代码缺陷并及时纠正这些问题，从而极大地提高软件可靠性

节省软件开发和测试成本。

Android目前主要使用的语言为kotlin、java，所以我们需要尽可能支持这两种语言。

Lint

Android Studio 提供的代码扫描工具。通过进行 lint 检查来改进代码

能检测什么？是否包含潜在错误，以及在正确性、安全性、性能、易用性、便利性和国际化方面是否需要优化改进，帮助我们发现代码结/质量问题，同时提供一些解决方案。每个问题都有信息描述和等级。

支持【300+】检测规则，支持Manifest文件、XML、Java、Kotlin、Java字节码、Gradle文件、Proguard文件、Propetty文件和图片资源；

基于抽象语法树分析，经历了LOMBOK-AST、PSI、UAST三种语法分析器；

主要包括以下几个方面

• Correctness：不够完美的编码，比如硬编码、使用过时 API 等;
• Performance：对性能有影响的编码，比如：静态引用，循环引用等;
• Internationalization：国际化，直接使用汉字，没有使用资源引用等;
• Security：不安全的编码，比如在 WebView 中允许使用 javascriptInterface 等

在module下的build.gradle中添加以下代码:

android 
  lintOptions 
        // true--关闭lint报告的分析进度
        quiet true
        // true--错误发生后停止gradle构建
        abortOnError false
        // true--只报告error
        ignoreWarnings true
        // true--忽略有错误的文件的全/绝对路径(默认是true)
        //absolutePaths true
        // true--检查所有问题点，包含其他默认关闭项
        checkAllWarnings true
        // true--所有warning当做error
        warningsAsErrors true
        // 关闭指定问题检查
        disable 'TypographyFractions','TypographyQuotes'
        // 打开指定问题检查
        enable 'RtlHardcoded','RtlCompat', 'RtlEnabled'
        // 仅检查指定问题
        check 'NewApi', 'InlinedApi'
        // true--error输出文件不包含源码行号
        noLines true
        // true--显示错误的所有发生位置，不截取
        showAll true
        // 回退lint设置(默认规则)
        lintConfig file("default-lint.xml")
        // true--生成txt格式报告(默认false)
        textReport true
        // 重定向输出；可以是文件或'stdout'
        textOutput 'stdout'
        // true--生成XML格式报告
        xmlReport false
        // 指定xml报告文档(默认lint-results.xml)
        //xmlOutput file("lint-report.xml")
        // true--生成html报告(带问题解释，源码位置，等)
        htmlReport true
        // html报告可选路径(构建器默认是lint-results.html )
        //htmlOutput file("lint-report.html")
        //  true--所有正式版构建执行规则生成崩溃的lint检查，如果有崩溃问题将停止构建
        checkReleaseBuilds true
        // 在发布版本编译时检查(即使不包含lint目标)，指定问题的规则生成崩溃
        fatal 'NewApi', 'InlineApi'
        // 指定问题的规则生成错误
        error 'Wakelock', 'TextViewEdits'
        // 指定问题的规则生成警告
        warning 'ResourceAsColor'
        // 忽略指定问题的规则(同关闭检查)
        ignore 'TypographyQuotes'
    

运行./gradlew lint，检测结果在build/reports/lint/lint.html可查看详情。

CheckStyle

Java静态代码检测工具，主要用于代码的编码规范检测 。

CheckStyle是Gralde自带的Plugin，The Checkstyle Plugin

通过分析源码，与已知的编码约定进行对比，以html或者xml的形式将结果展示出来。

其原理是使用Antlr库对源码文件做词语发分析生成抽象语法树，遍历整个语法树匹配检测规则。

目前不支持用户自定义检测规则，已有的【100+】规则中，有一部分规则是有属性的支持设置自定义参数。

在module下的build.gradle中添加以下代码：

/**
 * The Checkstyle Plugin
 *
 * Gradle plugin that performs quality checks on your project's Java source files using Checkstyle
 * and generates reports from these checks.
 *
 * Tasks:
 * Run Checkstyle against rootDir/src/main/java: ./gradlew checkstyleMain
 * Run Checkstyle against rootDir/src/test/java: ./gradlew checkstyleTest
 *
 * Reports:
 * Checkstyle reports can be found in project.buildDir/build/reports/checkstyle
 *
 * Configuration:
 * Checkstyle is very configurable. The configuration file is located at rootDir/config/checkstyle/checkstyle.xml
 *
 * Additional Documentation:
 * https://docs.gradle.org/current/userguide/checkstyle_plugin.html
 */

apply plugin: 'checkstyle'
checkstyle 
    //configFile = rootProject.file('checkstyle.xml')
    configProperties.checkstyleSuppressionsPath = rootProject.file("suppressions.xml").absolutePath
    // The source sets to be analyzed as part of the check and build tasks.
    // Use 'sourceSets = []' to remove Checkstyle from the check and build tasks.
    //sourceSets = [project.sourceSets.main, project.sourceSets.test]
    // The version of the code quality tool to be used.
    // The most recent version of Checkstyle can be found at https://github.com/checkstyle/checkstyle/releases
    //toolVersion = "8.22"
    // Whether or not to allow the build to continue if there are warnings.
    ignoreFailures = true
    // Whether or not rule violations are to be displayed on the console.
    showViolations = true

task projectCheckStyle(type: Checkstyle) 
    group 'verification'
    classpath = files()
    source 'src'
    //include '**/*.java'
    //exclude '**/gen/**'
    reports 
        html 
            enabled = true
            destination file("$project.buildDir/reports/checkstyle/checkstyle.html")
        
        xml 
            enabled = true
            destination file("$project.buildDir/reports/checkstyle/checkstyle.xml")
        
    

tasks.withType(Checkstyle).each  checkstyleTask ->
    checkstyleTask.doLast 
        reports.all  report ->
            // 检查生成报告中是否有错误
            def outputFile = report.destination
            if (outputFile.exists() && outputFile.text.contains("<error ") && !checkstyleTask.ignoreFailures) 
                throw new GradleException("There were checkstyle errors! For more info check $outputFile")
            
        
    

// preBuild的时候，执行projectCheckStyle任务
//project.preBuild.dependsOn projectCheckStyle
project.afterEvaluate 
    if (tasks.findByName("preBuild") != null) 
        project.preBuild.dependsOn projectCheckStyle
        println("project.preBuild.dependsOn projectCheckStyle")
    

默认情况下，Checkstyle插件希望将配置文件放在根项目中，但这可以更改。

<root>
└── config
    └── checkstyle           
        └── checkstyle.xml   //Checkstyle 配置
        └── suppressions.xml //主Checkstyle配置文件

执行preBuild就会执行checkstyle并得到结果。

支持Kotlin

怎么实现Kotlin的代码检查校验呢？我找到两个富有意义的方法。

1. Detekt — https://github.com/arturbosch/detekt
2. ktlint — https://github.com/shyiko/ktlint

KtLint

添加插件依赖

buildscript 
  dependencies 
    classpath "org.jlleitschuh.gradle:ktlint-gradle:11.0.0"
  

引入插件，完善相关配置：

apply plugin: "org.jlleitschuh.gradle.ktlint"
ktlint 
    android = true
    verbose = true
    outputToConsole = true
    outputColorName = "RED"
    enableExperimentalRules = true
    ignoreFailures = true
    //["final-newline", "max-line-length"]
    disabledRules = []
    reporters 
        reporter "plain"
        reporter "checkstyle"
        reporter "sarif"
        reporter "html"
        reporter "json"
    

project.afterEvaluate 
    if (tasks.findByName("preBuild") != null) 
        project.preBuild.dependsOn tasks.findByName("ktlintCheck")
        println("project.preBuild.dependsOn tasks.findByName(\\"ktlintCheck\\")")
    

运行prebuild，检测结果在build/reports/ktlint/ktlintMainSourceSetCheck/ktlintMainSourceSetCheck.html可查看详情。

Detekt

添加插件依赖

buildscript 
  dependencies 
		classpath "io.gitlab.arturbosch.detekt:detekt-gradle-plugin:1.22.0"
  

引入插件，完善相关配置（PS：可以在yml文件配置相关的规则）：

apply plugin: 'io.gitlab.arturbosch.detekt'
detekt 
    // Version of Detekt that will be used. When unspecified the latest detekt
    // version found will be used. Override to stay on the same version.
    toolVersion = "1.22.0"

    // The directories where detekt looks for source files.
    // Defaults to `files("src/main/java", "src/test/java", "src/main/kotlin", "src/test/kotlin")`.
    source = files(
            "src/main/kotlin",
            "src/main/java"
    )

    // Builds the AST in parallel. Rules are always executed in parallel.
    // Can lead to speedups in larger projects. `false` by default.
    parallel = false

    // Define the detekt configuration(s) you want to use.
    // Defaults to the default detekt configuration.
    config = files("$rootDir/config/detekt/detekt-ruleset.yml")

    // Applies the config files on top of detekt's default config file. `false` by default.
    buildUponDefaultConfig = false

    // Turns on all the rules. `false` by default.
    allRules = false

    // Specifying a baseline file. All findings stored in this file in subsequent runs of detekt.
    //baseline = file("path/to/baseline.xml")

    // Disables all default detekt rulesets and will only run detekt with custom rules
    // defined in plugins passed in with `detektPlugins` configuration. `false` by default.
    disableDefaultRuleSets = false

    // Adds debug output during task execution. `false` by default.
    debug = false

    // If set to `true` the build does not fail when the
    // maxIssues count was reached. Defaults to `false`.
    ignoreFailures = true

    // Android: Don't create tasks for the specified build types (e.g. "release")
    //ignoredBuildTypes = ["release"]

    // Android: Don't create tasks for the specified build flavor (e.g. "production")
    //ignoredFlavors = ["production"]

    // Android: Don't create tasks for the specified build variants (e.g. "productionRelease")
    //ignoredVariants = ["productionRelease"]

    // Specify the base path for file paths in the formatted reports.
    // If not set, all file paths reported will be absolute file path.
    //basePath = projectDir

tasks.named("detekt").configure 
    reports 
        // Enable/Disable XML report (default: true)
        xml.required.set(true)
        xml.outputLocation.set(file("build/reports/detekt/detekt.xml"))
        // Enable/Disable HTML report (default: true)
        html.required.set(true)
        html.outputLocation.set(file("build/reports/detekt/detekt.html"))
        // Enable/Disable TXT report (default: true)
        txt.required.set(true)
        txt.outputLocation.set(file("build/reports/detekt/detekt.txt"))
        // Enable/Disable SARIF report (default: false)
        sarif.required.set(true)
        sarif.outputLocation.set(file("build/reports/detekt/detekt.sarif"))
        // Enable/Disable MD report (default: false)
        md.required.set(true)
        md.outputLocation.set(file("build/reports/detekt/detekt.md"))
        custom 
            // The simple class name of your custom report.
            reportId = "CustomJsonReport"
            outputLocation.set(file("build/reports/detekt/detekt.json"))
        
    

project.afterEvaluate 
    if (tasks.findByName("preBuild") != null) 
        project.preBuild.dependsOn tasks.findByName("detekt")
        println("project.preBuild.dependsOn tasks.findByName(\\"detekt\\")")
    

运行prebuild，检测结果在build/reports/detekt/detekt.html可查看详情。

总结

GitHub Demo

CheckStyle不支持kotlin，Ktlin和Detekt两者对比Ktlint它的规则不可定制，Detekt 工作得很好并且可以定制，尽管插件集成看起来很新。虽然输出的格式都支持html，但显然Detekt输出的结果的阅读体验更好一些。

以上相关的插件因为都支持命令行运行，所以都可以结合Git 钩子，它用于检查即将提交的快照，例如，检查是否有所遗漏，确保测试运行，以及核查代码。

不同团队的代码的风格不尽相同，不同的项目对于代码的规范也不一样。目前项目开发中有很多同学几乎没有用过代码检测工具，但是对于一些重要的项目中代码中存在的缺陷、性能问题、隐藏bug都是零容忍的，所以说静态代码检测工具尤为重要。