Ядро Linux проверено статическим анализатором PVS Studio

В комментариях к предыдущей новости было много странного негатива и заблуждений. Я хотел прояснить некоторые вопросы, оставив комментарии. Но было поздно, так как тема была удалена. Мне предложили создать новую, что я и делаю.

Андрей, это не хабр :) Тут обезличенная новостная стилистика должна соблюдаться.

Ну не умею :) Я тут мимоходом. Быть может кто-то перепишет как-то ещё. Ну или засуньте куда-то в оффтопики. Всё равно можно будет обсудить с интересующимися что-то. Ибо на Хабре писать комментарии может весьма ограниченная группа людей.

А проверьте еще {Free,Open,DragonFly}BSD.

Андрей, линк на хабр по этому поводу уже был тут.

См. удаленные, там подробная драма почему так.

с каких пор на лоре всё так строго? :)

Дежавю...

Новость неоднозначная.

Я так и не понял, что это было: пиар или таки годное дело? Сами ребята не стесняясь, пишут про эдакий красивый рекламный ход. Но вроде как и сообществу помогли (помогли?). Посмотрел вскользь, ошибки вроде не критичные, скорее предупреждения...

P.S. Чую, назревает срачик )))

Дело годное, но да, в удаленных пока интереснее.

Эх, раз, ещё раз…

А сам PVS-Studio проверяли при помощи PVS-Studio?

P.S. Чую, назревает срачик )))

Ты опоздал. Да и срачик годный только между апруверами был.

Я ждал этого коментария в этой версии обсуждения.

http://www.viva64.com/ru/a/0085/

зачотная аватарка.

Переведите на английский и дайте Линусу почитать. А мы пока за попкорном.

Исправлять то будут?

Так можно ли ждать PVS Studio для Linux? ;)

Да, аватарка: 9/10.

Линусу сообщили???!!!

На хабре были ссылки, можешь сходить посмотреть.

http://www.viva64.com/en/b/0299/

Баг завели.

А, наверно это была отсылка к стандартным комментариям к статьям про PVS-Studio.

Интересно! Посмотрим, чем закончится.

Вы таки мне скажите, 12309 они нашли или нет?

Это не английский.

Линус Торвальдс уже отреагировал на попытку пропатчить запись нуля там, где уже нуль. Он обнаружил, что это хуже - это порча памяти, если строка не влезает в 99 байт.

https://lkml.org/lkml/2015/1/4/177

ответ Линуса

Actually, it's worse than that. This:

>         len = snprintf(fname, 99, "%s", buf);
> -       fname[len-1] = '\0';

is complete garbage, since the return value of snprintf() is not the
length of the result, but length of what the result *would* have been.

So if the string doesn't fit in 99 bytes, it will actively corrupt
some random memory after the string. It's not writing zero to what was
already zero, it's corrupting memory.

Anyway, from a quick glance your patches look fine, but you need to
sign off on them. See Documentation/SubmittingPatches.

Немного оффтоп, но есть довольно популярный открытый проект Linux Multimedia Studio (несмотря на название, собирается и под Windows), переполненный багами. Кажется, он не проверялся даже CppCheck (хотя недавно в списке рассылки заговорили, что неплохо было бы проверить с помощью Coverity). Понимаю, что вряд ли сообщество решит скинуться хотя бы на CppCat, но если вы его проверите, может быть, найдётся интересный материал для статьи.

Ну всё, сейчас тебя заминусуют.

Wait, oh shi~

Так можно ли ждать PVS Studio для Linux? ;)

Не, лучше открытия исходников под свободной лицензией? :)

Ведь свободный софт - это хорошо, а проприетарный - плохо

И чего, теперь будем бесконечно форсить эту новость на ЛОРе, пока каждый анонимус не запишет название «PVS Studio» себе в подсознание?

Весьма эпично.

2 новости есть. Теперь осталось пройти маршем «Я - PVS Studio» во главе с Путиным и будет порядок.

Что этот рекламный вброс делает на лоре?

Я так и не понял, что это было: пиар или таки годное дело?

И то, и другое. И это хорошо.

А сам PVS-Studio проверяли при помощи PVS-Studio?

Кроме этого вопроса, есть еще один популярный - «а вы отправили отчет разработчикам тестируемого приложения?»

Находится.

Так можно ли ждать PVS Studio для Linux? ;)

Это второй по частоте использования вопрос в топике о PVS Studio :)

Пиар ход, хотя, несмотря на мое отношение к проприетарщине, хорошо, что проверили. Может будет меньше багов. Безусловно, если (проприетарная=потенциально вредоносная) программа предлагает патчи, их нужно вручную проверять, Линус молодец.

Почему бы вам не сделать открытый сервис для проверки СПО вашим анализатором? Потому что пока вы сами тыкаете отдельные проекты, это жалкий пиар без пользы для сообщества, и ИМХО это сильно портит вам репутацию.

хм. а я думаю - видел другую новость. с тридцатьпервого-первого не пил. ЛОР взломали или глючит?

а тут другая новость.

а -Wall половину этих ошибок не выявит?

так люди хотят вознаграждения за работу.

И что же им должны предложить свободные проекты, которые в большинстве своём пишутся на энтузиазме?

а -Wall половину этих ошибок не выявит?

Нет

Сервера с ОС на базе ядра Linux не всегда живут только на голом энтузиазме,зарабатывают они конечно не кодом,проекты ведут и развивают для внутреннего применения,ну и с другими для превлечения разработчиков делятся.(Гугл,Мордокнига)
Да и другие проекты могут поддерживаться коммерческими проектами.
(Например sip телефония)
Предложите свои услуги им.

Из набора слов который вы написали я не понял ничего. Какие услуги я должен предложить? Какая нафиг телефония?

Я раскрою свою мысль, если она непонятна: компания паразитирует на опенсорсе, не принося ему никакой реальной пользы. Почему? Потому что их проверки а) точечные и б) нерегулярные (скорее всего, даже однократные для каждого проекта), при том что они сами пишут как важно проводить статический анализ постоянно. Итого, профита для сообщества нет, профит для конторы есть - PR. Это паразитизм, и этим обусловлено крайне негативное отношение к компании в профессиональной среде.

Я предлагаю сделать публичный сервис аналогичный travis-ci: свободный софт проверяется бесплатно, закрытый код - по платной подписке. Профит СПО сообществу очевиден, профит компании - положительный PR и намного более широкая коммерческая аудитория. Вопрос «cppcat под linux» также, возможно решается.

Разумная мысль, кстати.

Подразумевается, что если нужны регулярные проверки - опенсорсный проект покупает лицензию.

Какая нафиг телефония?

Пример после короткого гугления:
http://www.mango-office.ru/products/SIP?gclid=CM6j55Oxj8MCFePPcgodBZAAGw

http://www.google.ru/url?sa=t&rct=j&q=&esrc=s&source=web&...

Наверняка они свою сеть строят на основе какого ни будь опенсорсного сервера и неужели ни одна из этих компаний не захочет заплатить за ревизию своего продукта?

Я раскрою свою мысль, если она непонятна: компания паразитирует на опенсорсе,

Вданном случае программа не структурообразующая,можно и потерпеть.

На худой конец сделайте открытый аналог,или начните краудфандинговую компанию по сбору средств для выкупа кода.