共计 3046 个字符，预计需要花费 8 分钟才能阅读完成。
在评估动态剖析软件时，有许多选项可供选择：付费版本、收费或社区版本，以及任何人都能够查看、应用和批改的开源软件。
当在摸索这些抉择时，收费的动态剖析工具可能听起来很划算，但它们真的能满足您的编程需要吗？
本篇文章将探讨收费动态剖析工具的长处和局限性，为您提供动态剖析工具的选型参考。
什么是收费的动态剖析工具？
动态剖析是一种排除谬误的办法，它在不执行程序的状况下主动查看源代码。通过这种形式，开发人员能够取得洞察能力，以帮忙他们确保代码库兼容、平安、牢靠。动态剖析在软件开发生命周期（SDLC）的施行（编码）阶段、集成 / 构建和测试阶段执行，把检测和修复左移到生命周期晚期，来确保代码平安。
在查看源代码的安全漏洞、品质和性能问题，和 / 或不符合标准等方面，收费的动态剖析工具简直是没有老本的。
动态代码剖析、动态应用程序平安测试（SAST）和动态应用程序品质测试（SAQT）工具提供了一种办法，能够依据一组编码规定来剖析我的项目的代码库，以帮忙强制恪守各种编码标准。动态剖析工具通过扫描我的项目的代码库来辨认潜在的破绽、bug 和不良编码实际。好的动态剖析工具能够准确无误地做到这一点，同时在作为继续集成循环的一部分运行时，剖析速度也足够地快。
开发人员能够应用好几种不同的的动态剖析工具，这具体取决于他们的偏好、指标和业务需要，但并不是所有的动态剖析工具开发方式都是雷同的。理解工具的工作原理十分重要，因为这样能力确定哪种工具更适宜您。例如，如果您所在的行业受到编码标准的限度，那么您抉择的动态剖析工具应该反对这些规范。
收费的动态剖析工具可能会提供编程语言反对、编码标准反对或最佳实际性能，但也可能不提供。收费的动态剖析工具范畴很广，从相似 lint-like 的简略工具到与先进自动化代码查看平台捆绑的 bug 检测工具，都囊括其中。
在评估潜在的动态剖析解决方案时，请思考您的需要，并衡量开源 / 收费动态剖析工具与商业工具的利弊。
收费的动态剖析工具有什么长处？
收费的动态剖析工具对于那些想要摸索其工作原理，以及如何在开发过程中施行并调配给其余成员的开发人员来说，还是十分有用的。
老本效益
这一点不言而喻：收费的动态剖析工具不花一分钱，开源工具比商业解决方案（至多在最后）更具老本效益。这个劣势让您在构建更弱小的开发流水线时，可能腾出资金分配给其余中央。收费的工具也让您有工夫思考，在扩充规模时是否须要专有解决方案的额定反对，同时也能剖析您的代码，修复平安和品质问题。
敏捷性和灵活性
开发人员能够通过应用开源 / 免费软件，自在地施展创意，并且依据本人的业务须要，测试他们对代码做的所有批改。收费的软件使您能够自在地理解程序中简单的细节，以及如何在整个企业中调配它，而不用在做好筹备前就投入任何一家公司或软件套件。如果您能够拜访源代码，那么这就像应用开源软件一样，您可能测试这个工具的性能，甚至能够对产品进行逆向工程——所有的这些您都能够自在安顿工夫。
社区
一些由社区驱动的收费 / 开源动态剖析工具，发明了一个激励创造性奉献和合作的社交环境。您能够轻松地与同行互动并向他们学习，如果您想壮大团队，这里还能找到顶尖人才。不仅如此，社区让每个人都能够看到工具的新更改和施行，您还能够与其余开发人员探讨这些更改如何影响软件的将来。从某些方面来说，因为多个用户始终在查看代码，该工具的社区帮忙其放弃了代码平安（但从另一个方面来说，免费软件会带来更大的平安危险，因为任何人都能够更新代码）。
收费动态剖析工具的局限性是什么？
开源和收费的动态剖析工具的局限性在于，它们往往会随同着更大的开发危险，而且依据您所需的动态剖析技术，它们不肯定适宜您的我的项目。因为动态剖析的一些技术会提供不同层面的剖析后果。
例如，lint 工具是一个根本的动态分析器，它查看源代码是否存在编程和格调谬误——这可能齐全满足了您的需要，进步了代码品质。但如果您须要更简单的剖析和指标，例如圈复杂性（cyclomatic complexity，代码复杂度的衡量标准），您就须要一个更高级的动态剖析解决方案。
收费的动态剖析工具可能带来的限度还包含以下方面：
牢靠的反对
应用收费工具，很多事件都只能自力更生，因为不足用户敌对的界面，使得一些应用程序难以设置和应用。开源工具可能提供社区反对，也可能疾速解决问题，但您无奈失去特定反对团队（与您签订了服务等级协定（SLA）的团队）的保障。当有新的修复或版本时，您还须要负责手动降级，而无奈取得通过专属软件团队彻查和解决的主动 / 易于下载的产品公布和降级。
平安危险
对于收费的动态剖析工具来说，安全性可能不是原始开发人员的首要思考因素，因为他们通常把更多的精力放在商业的工具上。开源动态剖析工具有一把双刃剑，在多个开发人员监控源代码并亲密关注破绽的同时，不良行为者也能够潜入并批改代码以达到本人的歹意目标。专有的 SAST 工具（如 Klocwork）遵循平安编码实际，并反对 CWE，OWASP，CERT 等平安规范，可能尽早发现和修复平安问题，并证实代码合乎这些规范。
代码品质、可靠性和合规性
当波及到编码标准时，许多收费和开源的动态剖析工具提供的性能很无限。
例如，许多开源的动态剖析软件工具仅限于提供代码的构造剖析。如果没有高级数据流剖析（即形象解释、符号逻辑和定理证实等运行时模仿技术），你将无奈找到那些违反了重要的平安和防护规范规定的实例。
抉择一个反对现有编码标准的动态剖析工具，以及为您的企业定制本人的规范，这才是要害。动态剖析工具（如 Helix QAC）可主动监控规范合规性，从而缩小记录所需的工夫。无效的动态剖析解决方案将疾速、彻底地评估代码复杂性，并查看是否合乎编码标准，如 MISRA、C/C++ 等，而后生成证实合规性的反对文档，并放弃代码的高质量。
许可证
收费的计划通常会限度企业中散发的许可证数量，或是限度代码行数。当您只想尝试一下这些工具，或者只有多数开发人员须要试用，亦或是代码量无限的时候，收费工具是不错的。但随着业务的增长，您也必须扩大工具能力满足新的需要。商业的动态剖析解决方案能够针对您的状况提供适宜的许可选项。商业公司可能为您提供反对，轻松增加许可证和用户敌对的个性和性能，从而实现疾速稳固的扩大。
为什么抉择 Perforce 动态剖析工具？
收费的动态剖析工具能够工作，但它们可能无奈提供满足您编程要求的所有个性、性能和剖析级别。
Perforce 动态剖析解决方案已深受客户信赖超 30 年，为各行各业的要害工作我的项目团队提供了确切精准的后果。
Helix QAC 和 Klocwork 已通过认证，合乎要害的性能平安规范，如 ISO 26262、IEC 61508、EN 50128、IEC 62304 等，也笼罩了重要的编码标准，并且它们提供的误报和漏报更少。
作者简介：
斯图尔特·福斯特（Stuart Foster）
Klocwork 和 Helix QAC 产品经理，Perforce
斯图尔特·福斯特在挪动和软件开发方面领有超过 10 年的丰盛教训，负责管理生产利用和企业软件的产品开发。目前，他负责管理 Klocwork 和 Helix QAC——Perforce 的代码品质治理解决方案。他致力于开发合乎客户业务需要的产品、个性和性能，并帮忙开发人员生成平安、牢靠、无缺点的代码。斯图尔特领有 Carleton 大学的信息技术、交互式多媒体和设计学士学位，以及 Algonquin 利用艺术与技术学院的多媒体设计高级文凭。
文章起源：http://bit.ly/3lgqQrx
