Facebook开源的静态代码分析工具Infer使用指南

01

什么是Infer？

Infer是Facebook公司的一个开源的静态分析工具。Infer 可以分析 Objective-C， Java 或者 C 代码，用于发现潜在的问题。其作用类似于sonar和fortify。Infer更倾向于发现代码中的空指针异常、资源泄露以及内存泄漏的问题。

官网地址如下：https://infer.liaohuqiu.net/

02

如何安装Infer？

在github上下载infer的安装包，目前infer只支持mac和linux系统。下载地址如下：

https://github.com/facebook/infer/releases

github上面下载比较慢，我下载了一个0.17.0的版本，存放到网盘了，可以从网盘下载：

链接：https://pan.baidu.com/s/1jkpoLXjMmwmrEJVPb6PZcA

提取码：1234

linux上安装步骤如下：

将下载好的linux系统下的安装包传到linux服务器(假设约定存放在/root/tools目录)，执行下面的命令：

cd /root/tools
xz -d infer-linux64-v0.17.0.tar.xz (先转成tar格式)
tar xvf infer-linux64-v0.17.0.tar
cd /root/tools/infer-linux64-v0.17.0
echo "export PATH=\"\$PATH:`pwd`/bin\"" \ >> ~/.bash_profile &&
source ~/.bash_profile

如果你是在 linux 中，如果 ~/.bash_profile 不存在的话，你也许需要把 ~/.bash_profile 替换成 ~/.bashrc。

执行完之后，输入 infer --version 检查环境变量是否配置成功

03

如何使用Infer进行maven工程的代码扫描？

进入到代码pom.xml文件所在目录

输入如下命令即可扫描：

infer --  mvn compile  （执行该命令会默认在当前目录下生成一个infer-out的报告目录），该目录下会有一个bugs.txt和report.json，可以用来查看扫描出来的bug和报告信息。

04

如何使用Infer进行多个版本扫描结果对比？

infer扫描结果默认保存在infer-out文件夹中，要对比多个版本的扫描结果的话，可以将不同的扫描结果存放于不同的文件夹中。

infer可以使用-o参数指定报告输出的文件夹名称。

使用介绍：

扫描第一次，指定生成报告的位置：

infer -o ./inferresult_first  -- mvn clean  compileinfer -o ./inferresult_first  -- mvn clean  compile

开发修复bug后，进行第二次扫描：

infer -o ./inferresult_second  -- mvn clean  compileinfer -o ./inferresult_second  -- mvn clean  compile

然后使用infer的reportdiff命令，输出两次infer扫描的对比结果，命令如下：

infer reportdiff --report-current inferresult_second/report.json --report-previous inferresult_first/report.json

使用上面命令，会在 infer-out中多出来一个文件夹differential，文件中有三个json文件分别为：

introduced.json：新增问题

fixed.json：新版本修复问题

preexisting.json：一直存在问题

05

如何集成jenkins进行持续集成？

理论上，一切支持命令行操作的工具都支持集成到Jenkins中。infer集成jenkins的操作就不详细介绍了，添加一个执行shell脚本的步骤，直接执行shell命令即可。

下面，主要介绍一下，如何在jenkins上展示infer的报告：加--pmd-xml参数生成xml报告

先安装PMD插件，然后在jenkins中配置如下:

运行后，jenkins中对应job的左侧列表中会出现PMD Warnings的选项，点击即可看到详细的扫描结果：

06

课后扩展

以上只是基于linux系统简单介绍一下Facebook公司的开源代码扫描工具Infer的简单用法，让大家可以有个简单的了解。遗留一些问题感兴趣的朋友可以继续扩展学习：

1、mac电脑上如何搭建环境

2、除了扫描maven工程的java代码外，gradle编译的工程以及ios代码如何扫描

3、可以跟其他的代码扫描工具进行一下对比，看看各自的优缺点以及使用场景。比如sonar，findbugs、checkstyle、fortify等。

4、如何去采集jenkins上配置的扫描job的数据，分析项目各版本用工具扫描出来的代码问题的一个趋势和遗留问题 ，再了解一下这个工具是否会有误报的情况，如果存在误报，是否可以设置过滤？

更多Infer学习资料请访问官网（https://infer.liaohuqiu.net/docs/getting-started.html）