PVS-Studio для Linux

Я правильно понимаю, что просто триальной версии, не требующей общения с продажниками PVS, не предоставляется?

Пока только через общение.

Ещё на заметку к документации, вы даёте http://www.viva64.com/ru/m/full/

Это удобно, но было бы ещё удобнее возможность скачать pdf файл с этой документацией.

Ещё на заметку к документации, вы даёте http://www.viva64.com/ru/m/full/ Это удобно, но было бы ещё удобнее возможность скачать pdf файл с этой документацией.

PDF файл идёт в составе дистрибутива.

Когда конторка разорится, тогда всё выложат под GPLv3, как миленькие.

AGPL3 будет правильнее.

Хорошая штука. Такие веселые ошибки выявляет!

Фраза хорошо сочетается с аватарой.

«Всё верно. Только не Волгу, а 3 рубля. И не в лотерею, а в карты. И не выиграл, а проиграл.»

вранье

Художественное преувеличение.

PS: хотя странно, что на ЛОРе кто-то взял не поленился и пошёл проверять. Приятно удивило.

От этой поделки никакой пользы сообществу.

Ты хочешь чтобы тонны быдлокода более менее квалифицированные люди разбирали?

Ты хочешь чтобы тонны быдлокода более менее квалифицированные люди разбирали?

Я хочу, чтобы на сообществе не только паразитировали в наглую.

Тогда сразу сноси линукс с десктопа.

Олсо подписплся на Карпова в твиттере. Очень интересно, рекомендую.

Я вот тоже как-то подписался, но недолго выдержал его поток спамообразной субстанции, в котором что-то интересное бывает скорее как исключение. Таки спам у них в крови.

На него еще и Кармак как-то ссылался там, в твиттере. Что-то типа «я Rust не видел, но вон там написано почему он кака, а я этим чувакам доверяю». С такими друзьями врагов не надо :(

посмотрел примеров 50, не увидел. но спорить не хочу, разу кому-то надо то ок. нормальный компилятор сам производит такой простой статический анализ.

посмотрел примеров 50, не увидел. но спорить не хочу, разу кому-то надо то ок. нормальный компилятор сам производит такой простой статический анализ.

Если всё так просто, то откуда эти 10000 ошибок?

Да и то, что мы легко находим ошибки в компиляторах, как бы намекает. :)

поиском опечаток и последствий неудачного Copy-Paste

ну надеюсь вы не про это

поиском опечаток и последствий неудачного Copy-Paste

ну надеюсь вы не про это

Начинайте мне рассказывать, что вот это в коде GCC не последствия Copy-Paste, а диверсия инопланетян:

return (   !strcmp (a->v.val_vms_delta.lbl1, b->v.val_vms_delta.lbl1)
        && !strcmp (a->v.val_vms_delta.lbl1, b->v.val_vms_delta.lbl1));

А вот этот Copy-Paste в коде Clang я сам туда вписал из вредности :)

MapTy PerPtrTopDown;
MapTy PerPtrBottomUp;

void clearBottomUpPointers() {
  PerPtrTopDown.clear();
}

void clearTopDownPointers() {
  PerPtrTopDown.clear();
}

Мы случайно проверили проект Clang

Чотаржу

бог маркетинга )

1. добавить в проект копипаст с ошибкой
2. проверить код проекта
3. найти ошибку в копипасте
4. профит...

:-D

А вот этот Copy-Paste в коде Clang я сам туда вписал из вредности

А вот, кстати, интересно: какова была тяжесть последствий этой копипасты?

Есть подозрение, что раз данная ошибка не была выявлена тестами самого clang-а и не мешала огромному количеству пользователей clang-а, то и влияния какого-то серьезного она не оказывала.

Когда конторка разорится, тогда всё выложат под GPLv3, как миленькие.

AGPL3 будет правильнее.

Будем ждать с нетерпением!

А вот, кстати, интересно: какова была тяжесть последствий этой копипасты?

Есть подозрение, что раз данная ошибка не была выявлена тестами самого clang-а и не мешала огромному количеству пользователей clang-а, то и влияния какого-то серьезного она не оказывала.

Скорее всего так и есть. Но учтите, что при такой постановке вопроса путаются понятия: возможность найти подобные ошибки и их критичность. То, что мы находим обычно мало критично, так как код редко выполняется или пока вообще не выполняется. Код ведь оттестирован. Важен сам факт, что такие ошибки есть и мы умеем их находить. Польза от анализатора проявляется при регулярном использовании, когда множество таких ляпов исправляются сразу, а не после жалоб пользователей и мучительной отладки. Это очень важная мысль, которую я постоянно стараюсь донести до читателей.

Напрасно, такое часто бывает... Идешь-идешь, спотыкаешся и случайно проверяешь проект Clang. :)

Важен сам факт, что такие ошибки есть и мы умеем их находить.

Практика показывает, что ошибки есть всегда. И что вопрос не в их количестве, а в том, насколько они мешают пользователям программы.

Это очень важная мысль, которую я постоянно стараюсь донести до читателей.

Есть еще одна важная мысль, которую вы либо специально не озвучиваете, либо не задумываетесь сами: цена вопроса. Применение статического анализатора не бесплатно: как минимум, придется заплатить за лицензию на анализатор. А ведь есть еще и косвенные расходы, связанные с изменением процесса разработки.

И вот что интересно: насколько это окупается? Грубо говоря, если потратить то же время и те же деньги на увеличение объема тестов, то не получится ли результат еще лучше, чем при использовании анализаторов.

Есть еще одна важная мысль, которую вы либо специально не озвучиваете, либо не задумываетесь сами: цена вопроса. Применение статического анализатора не бесплатно: как минимум, придется заплатить за лицензию на анализатор. А ведь есть еще и косвенные расходы, связанные с изменением процесса разработки. И вот что интересно: насколько это окупается? Грубо говоря, если потратить то же время и те же деньги на увеличение объема тестов, то не получится ли результат еще лучше, чем при использовании анализаторов.

Так и есть. Мы не говорим, что каждый должен приобрести PVS-Studio. В каждом проекте есть своя стоимость ошибок, но на неё мы влиять не можем. И исходя из этой стоимости люди принимают решение, нужен им анализатор или нет. Наша задача только рассказать им, что мы существуем и показать наши возможности.

В каждом проекте есть своя стоимость ошибок, но на неё мы влиять не можем.

Как раз с вашим навязчивым пиаром есть две проблемы:

- из ваших статей вообще не получается понять, какова эта стоимость, когда и где применение анализатора даст выигрыш, когда нет. Из статей понятно только, что PVS-Studio очень круто натаскан на поиск последствий копипасты;

- ни в ваших статьях, ни у вас на сайте нет информации, которая бы подсказала потенциальным пользователям о том, во что им может обойтись применение PVS-Studio в своей разработке. И, что самое печальное, вы в этом проблемы и не видите.

проанализировал проект командами:
pvs-studio-analyzer trace ...
pvs-studio-analyzer analyze ...
plog-converter ...

увидел, проблему, поправил, опять проанализировал, а проблема все еще висит
make clean и анализ убирает исправленную проблему, а иначе никак ?

Ну так это и не их проблема

Обращение ко всем пользователям Linux-версии PVS-Studio 6.10.

WARNING! Хочу обратить внимание, что сырой лог, полученный сразу после проверки использовать нельзя! Он не предназначен для просмотра и служит только как источник данных для программы plog-converter.

К нам стало приходить большое количество писем, что результатами работы PVS-Studio пользоваться невозможно. Программисты получают огромный файл, с тысячами одинаковых сообщений на один заголовочный *.h файл и прочим мусором. Мучаются, жалуются. Другие, наверное, не жалуются, а молча теряют интерес к PVS-Studio.

Эти файлы и не предназначены для просмотра. Для преобразования их в «человеческий» формат служит утилита plog-converter, описанная в документации. Эта утилита не только преобразует лог, но и удаляет в нём дубликаты для h-файлов, фильтрует сообщения и так далее. Например, есть смысл начать изучение отчета с предупреждений общего назначения первого и второго уровня (ключ -a GA:1,2). Это очень важно, так как иначе программист просто утонет в сообщениях.

В следующей версии, мы планируем изменить изначального формат лога, чтобы было понятно, что это некий бинарный формат и он не предназначен для просмотра. Это должно подсказать программисту, что с этим файлом надо ещё что-то сделать и он, продолжив в чтение документации, будет узнавать про plog-converter.

А Вы не могли бы пояснить ещё, как вы выбирали логотип. На сайте найти информации на эту тему не получилось. В свою очередь замечу, что логотип блюющего радугой единорога как-то совершенно не способствует к тому, чтобы убедить начальство с вами начать вести диалог.

Это должно подсказать программисту, что с этим файлом надо ещё что-то сделать и он, продолжив в чтение документации, будет узнавать про plog-converter.

Подсказать программисту может:

 - plog-converter - a utility for converting the analysis log into different formats

Но это всё, что может подсказать, так как больше чем README.md у вас в документации нет.

В самой README.md есть раздел Quick run в котором сказано:

The analyzer warnings will be saved in the specified PVS-Studio.log file.

Из чего любой адекватный человек сделает вывод о том, что PVS-Studio.log является конечным вариантом.

P.S> состав вашего дистрибутива:

./install.sh
./plog-converter
./plog-converter-source.tgz
./pvs-studio
./pvs-studio-analyzer
./README.md
./version.txt

Никаких pdf и другой документации я не вижу, а вы?

Тупой маркетинг — это не проблема продавца? Окай.

Какая интересная структура директорий. Явно не хватает скрипта, который бы реализовал всю кухню анализа.

Целью работы любого коммерческого предприятия является (внезапно) прибыль. В каком случае будет больше прибыли: если покупатели, ознакомившись с правдиво описанными фичами, купят продукт, а затем, путём проб и ошибок, поймут, нужен ли он им на самом деле, или если те, кто продвигают продукт, зачем-то заранее отсекут часть покупателей фразой о том, что продукт им может не подойти? Тут, конечно, возможен побочный эффект в виде сделанного кем-нибудь доклада «почему вам не нужен PVS studio», но зачем бежать впереди паровоза? Если кому-то не нравится - пусть он и доказывает и делает рассчёты. В ответ можно и другую схему лицензирования придумать

- plog-converter - a utility for converting the analysis log into different formats

Рунглийский?

Целью работы любого коммерческого предприятия является (внезапно) прибыль.

Прибыль не является целью, а всего лишь необходимым условием для выживания и развития. Но речь не об этом.

если покупатели, ознакомившись с правдиво описанными фичами, купят продукт, а затем, путём проб и ошибок, поймут, нужен ли он им на самом деле

Так я и говорю, тупой маркетинг: у нас есть фичи X, Y, Z, цену нужно спросить отдельно, потом заплатить, попользоваться год, а когда придет время платить снова, подвести итог.

Нет чтобы сказать что-то вроде: в среднем на исправление багов при разработке тратится 15% времени. Если команда больше 20 человек, то этот показатель увеличивается до 18.75%. Если кодовая база больше 1MLOC, то до 20.36%. Если возраст кодовой базы больше 15 лет, то расходы на багфиксинг нужно умножать на e. По проведенным контрольным замерам, использование статического анализатора сокращает эти затраты на 25%.

Покажите, что выдаст ваша программа?

int a[10];
a[10]=0;

Coverity 100% скажет, что ты идьёт.

Ну cc так не считает.

Так эти величины зависят от конкретной компании. Им нужно исследовательский отдел под это дело запилить:) Чтобы ни коем случае у них не купили ничего те, кому это, возможно, не нужно. Правда, в этом случае не обойтись без спонсорской помощи на организацию такой клёвой штуки

http://www.viva64.com/ru/examples/v557/

но есть же valgrind

Чтобы ни коем случае у них не купили ничего те, кому это, возможно, не нужно.

А как вообще решать нужно что-то или нет? Вот проверили в СиПроВер компилятор clang, нашли в нем баги. И? Баги есть везде, в clang-е они так же есть. Баги, судя по всему, не критичные. Как зачем тратить деньги на PVS-Studio, если в проекте масштаба и сложности clang-а можно обходиться без PVS-Studio и получать код приемлемого качества?

Другое дело, когда приводят реальные примеры (выше давали ссылку на коммент от пользователя с opennet-овского обусуждения). Там разработчик убил две недели на поиск бага, который сходу был найден анализатором. Две недели работы одного C++ программиста. Ну, скажем, потери только в деньгах составили порядка ~1000USD. Не считая ущерба от тех работ, которые этим программистом выполнены не были.

Неужели в СиПроВер нет набора подобных success story? Неужели они никак не отслеживают, насколько их продукт выгоден их же клиентам? Наверняка эта информация есть. Только вместо того, чтобы писать статьи про такие вещи, они пишут про очередную разовую проверку очередного OpenSource проекта.

«Целью работы любого коммерческого предприятия является (внезапно) прибыль»

Иногда просто отмывка денег или получение кредитов:-)

Trans-Proteomic Pipeline

V557 Array overrun is possible. The '3' index is pointing beyond array bound. crypt crypt.cxx 567


int main(int argc, char **argv) {
  ...
  char salt[3];
  ...
  salt[0] = (argc>2)?(argv[1][0]):rndChar[rand() % 64];
  salt[1] = (argc>2)?(argv[1][1]):rndChar[rand() % 64];
  salt[3] = 0;
  ...
}

This is what should have been written here: salt[2] = 0;

Да, оно. А valgrind разве способен на такое?

Да, оно. А valgrind разве способен на такое?

Такое и компилятор наругает.

Даже не пикнет.

clang:

warning: array index 3 is past the end of the array (which contains 3 elements) [-Warray-bounds]

Плюс можно включить и отлов в рантайме таких ситуаций, если индекс вычисляется, опять же просто штатными ключами компилятора.

clang, да. cc и gcc - нет.

Так у тебя gcc вместо компилятора.

cc и gcc

LOL