Java 理論與實踐：FindBugs 靜態分析消除代碼缺陷實戰

為什麼需要自動審查工具

編寫高質量代碼的最佳時機是寫代碼時，但現實中大量存量代碼缺乏文檔、隱含假設、維護者不再理解原設計。手工 Code Review 成本高、覆蓋面窄。FindBugs 基於字節碼分析，內建數百種 Bug 模式檢測器，能發現人眼難捕捉的缺陷。

核心檢測場景與對應設計規範

1. 異常處理：拒絕「吞沒」

try { mumbleFoo(); } catch (MumbleFooException e) { } // FindBugs 標記：空 catch 塊

若確需忽略，應添加註釋說明意圖。

2. equals/hashCode 契約

• 重寫 equals() 必須重寫 hashCode()，反之亦然
• 參數類型必須為 Object（協變 equals 會被標記）
• 易混淆方法名：hashcode()、tostring()（大小寫）、與構造函數同名

3. Finalizer 反模式

正確模板：

protected void finalize() { try { doStuff(); } finally { super.finalize(); } }

另檢測 System.gc() 顯式調用（建議啟動參數 -XX:+DisableExplicitGC 禁用）。

4. 構造函數逃逸與初始化安全

• this 引用不可存入靜態變量、啟動線程、發布內部類
• 新內存模型 (JSR 133) 下，逃逸會失去初始化安全保證
• FindBugs 檢測構造器中 Thread.start() 調用

5. 同步一致性

Inconsistent Synchronization 檢測器採用數據流分析 + 直觀推斷：

• 某字段多數訪問加鎖，少數未加鎖 → 報警
• Setter 加鎖而 Getter 未加鎖 → 報警

其他線程檢測：雙重檢查鎖、volatile 域初始化順序、Thread.run() 誤調用、wait() 未包裹循環。

6. 可變對象洩漏

public class States {
    private final String[] states = { "AL", "AR" };
    public String[] getStates() { return states; } // 內部數組引用洩漏
}

調用者可修改內部狀態。修復：返回不可變 List、克隆數組、或使用 Collections.unmodifiableList。FindBugs 直接標記「返回可變私有數組」。

實戰建議

1. 將 FindBugs 集成到 CI 流水線（Ant/Maven/Gradle/Eclipse 插件）
2. 按優先級分級處理：High → Medium → Low
3. 對誤報配置排除過濾器
4. 編寫自定義檢測器覆蓋項目特有規範

「所有檢測器都在真實代碼庫中發現過真 Bug」—— 下載 FindBugs 掃描你的專案，結果可能會讓你驚訝。

1. 上一篇文章： Java 理論與實踐：線程池與工作隊列設計精要
2. 下一篇文章： Java 理論與實踐：性能管理 — 您有規劃嗎？

Java 相關知識

JavaMail 發送郵件完整教學：從 James Server 搭建到帶附件發送實戰

郵件協議基礎 協議全稱用途預設埠 SMTPSimpl

IBM Java 診斷系列（四）：擴展 Dump Analyzer 撰寫自訂分析模組

前言與架構概覽 IBM Dump Analyzer 建立於

Eclipse 十大高效開發快捷鍵：資深工程師私藏生產力神器

資深 Eclipse 開發者總結的十大高頻快捷鍵，涵蓋資源導

使用 NetBeans IDE 遠端操控 Sony Ericsson 裝置實戰指南

NetBeans IDE 整合 Java Platform