静态分析和动态分析

在开发早期，发现并修复bug在许多方面都有好处。它可以减少开发时间，降低成本，并且防止数据泄露或其他安全漏洞。特别是对于DevOps，尽早持续地将测试纳入SDLC软件开发生命周期是非常有帮助的。

这就是动态和静态分析测试的用武之地。它们在SDLC中各自服务于不同的目的，同时也为任何开发团队提供独特且几乎即时的投资回报率。

静态与动态分析：了解两者的区别

静态代码分析是一个广义的术语，用于描述几种不同类型的分析。然而，所有这些分析都有一个共同的特征：它们不需要代码执行即可运行。

相比之下，动态分析需要代码执行。尽管还有其他区别，但这一特征是区分这两种测试方法的根本因素。

这也意味着每种方法在开发过程的不同阶段都提供了不同的好处。为了理解这些差异，我们可以回顾以下内容。

• 每种策略需要什么。

• 需要使用测试类型。

• 协助该过程的工具。

什么是静态分析？

静态代码分析测试可以包括各种类型，其中两种主要的类型是基于模式的测试和基于流的测试。

基于模式的静态分析可以查找出违反定义编码规则的代码。除了确保代码满足合规性或内部计划的统一期望外，它还可以帮助团队预防缺陷，如资源泄漏、性能和安全问题、逻辑错误和API滥用等。

基于流的静态分析可以查找和分析代码的各种路径。这可以通过控制流（执行行(hang)的顺序）和数据流（变量或类似实体可以被创建、改变、使用和销毁的顺序）来实现。这些过程可以暴露出导致关键缺陷的问题，例如：

• 内存损坏（缓冲区覆盖）

• 内存访问违规

• 空指针解引用

• 竞态条件（Race conditions）

• 死锁（Deadlocks）

它还可以通过绕过安全关键代码（如身份验证或加密代码）的路径来检测安全问题。

此外，度量分析包括对代码的各个方面进行衡量和可视化。它可以帮助检测现有的缺陷，但更常见的是，为后续代码维护时，提前消除可能带来未知缺陷的可能性。这是通过发现代码中的复杂性和冗长性来完成的，例如：

• 过大的组件

• 过多的循环嵌套

• 一系列过于冗长的判定

• 复杂的组件间依赖关系

什么是动态分析？

动态分析有时被称为运行时错误检测，动态分析是测试类型之间的区别开始变得模糊的地方。动态应用程序安全测试（DAST）是一种分析测试，目的是检查测试项目而不是执行它。这种白盒测试检查的是内部行为，并非外部行为。然而测试中的代码必须被执行。这是通过运行与动态测试相同的黑盒测试来完成的。

这意味着动态分析可以在内部故障发生的瞬间检测并报告这些故障。这使得测试人员更容易精确地将这些故障与测试行动关联起来，以便进行事故报告。类似于好的静态分析，DAST提供了完整的技术细节，使开发人员能够隔离和修复潜在的缺陷。

DAST还扩展了所有级别的测试能力，从单元测试到验收，使检测内部故障成为可能，这些故障指向在测试停止后发生或将要发生的无法观察到的外部故障。

静态分析的利弊

凡事皆有利弊，静态分析测试也有优点和缺点。

静态分析的利弊

优点：	缺点：
1. 在不执行源代码的情况下评估源代码；	1. 可能返回误报和漏报，会分散开发人员的注意力；
2. 分析整个代码的漏洞和错误；	2. 手动操作需要很长时间；
3. 遵循定制的、定义好的规则；	3. 无法找到运行时环境中出现的错误或漏洞；
4. 增强开发人员的责任感；	4. 决定应用哪些行业编码标准可能会令人困扰；
5. 具有自动化能力；	5. 确定偏离违反规则是否合适，可能具有挑战性。
6. 尽早突出错误并减少修复漏洞所需的时间。

虽然这些缺点看起来令人生畏，但静态分析的缺点可以用两件事来补充：

• 自动化静态分析

• 使用动态分析技术

为什么静态代码分析如此有价值？

所有这些类型的静态分析都有一个共同点：它们会涉及扫描或检查程序源代码。

这是一种快速而简单的暴露关键缺陷的方法。他实现了100%的覆盖率和100%的客观结果。

不断地执行这样的静态代码分析是有意义的，因为它提供了这些可操作的结果，减少了成本和开发时间，增加了代码覆盖率，等等。

超越静态分析的范畴

静态扫描提供信息来帮助预测代码集成和执行时可能会发生的情况。它根据工具认为的缺陷标准来检测缺陷。通常也可以根据您的偏好和优先级进行定制。

但是，工具不能告诉您测试中或生产中的系统何时交付了意外的、不适当的或不准确的结果。

这里的挑战是难以观察意想不到的行为。例如，对于用户、测试人员或测试执行工具来说，事务可能看起来正确地进行，但实际上，组件抛出了一个未处理的异常，并且未能正确地处理它。一个控制系统可能会在测试三天内快速正确地响应，但可能会在生产的第四天出现内存泄漏并导致崩溃。

通过使用静态代码分析工具修复所有检测到的缺陷，并不能保证不会有其他缺陷导致类似的失败。这就是为什么将失败的定义应用于内部和外部行为是很重要的，即使在集成之后也是如此。内部故障必须在外部故障出现之前检测到。

结合静态和动态分析的最佳实践

将静态和动态分析相结合，是获得可操作结果、减少错误发生、增加错误检测并创建更安全代码的最佳选择。两者并无优劣之分。它们像精心制作的瑞士手表的所有齿轮一样协同工作。

要同时使用静态和动态分析，请遵循这些最佳实践：

• 将它们与符合您需求的手动和自动化解决方案一起使用；

• 使代码对其他开发人员具有可读性和可重用性；

• 在SDLC的正确点使用正确的方法——在早期使用静态方法，在运行时环境中使用动态方法；

• 利用这两种方法对您的项目进行更全面的概述；

• 避免只依赖一种测试方法的陷阱，一个小的疏忽可能导致大的问题。

将静态和动态分析相结合，使团队能够定位更大范围和数量的代码威胁。

获取有价值的见解，来选择最适合您团队的软件测试解决方案。