SpotBugs Java静态分析技能

本文件中的 templates/... 均指本技能目录下的 templates/ 子目录。

版本兼容性

• SpotBugs 4.7.3：最高支持Java 17（class文件major version 61）
• Java 25不兼容，需使用Java 17或更早版本运行分析

java -version
javap -verbose target/classes/com/example/Test.class | grep major

工具位置

SPOTBUGS_HOME=~/app/spotbugs-4.7.3
SPOTBUGS_JAR=$SPOTBUGS_HOME/lib/spotbugs.jar
FIND_SEC_BUGS_SRC=${HOME}/open_source/github/find-sec-bugs/
FB_CONTRIB_SRC=${HOME}/open_source/github/fb-contrib/

执行流程

步骤1：准备字节码

mvn compile          # Maven
gradle classes       # Gradle
javac -d target/classes src/*.java  # 手动

步骤2：执行分析

# 基础分析
java -jar $SPOTBUGS_JAR -textui -output spotbugs-basic.txt target/classes/

# 含安全检测
java -jar $SPOTBUGS_JAR -textui -output spotbugs-security.txt \
  -pluginList $FIND_SEC_BUGS_JAR target/classes/

# 完整分析（所有插件）
java -jar $SPOTBUGS_JAR -textui -output spotbugs-full.txt \
  -pluginList $FIND_SEC_BUGS_JAR:$FB_CONTRIB_JAR target/classes/

步骤3：特定检测器

# 仅安全漏洞
java -jar $SPOTBUGS_JAR -textui -output security-only.txt \
  -pluginList $FIND_SEC_BUGS_JAR -onlyAnalyze ".*Security.*" target/classes/

# 性能和资源问题
java -jar $SPOTBUGS_JAR -textui -output performance.txt \
  -effort:max -visitors "FindDeadLocalStores,FindUnconditionalWait,FindReturnRef" target/classes/

步骤4：生成报告

使用模板 templates/report.md 输出分析报告。

配置与过滤

使用模板 templates/filter.xml 自定义过滤器：

java -jar $SPOTBUGS_JAR -textui -output filtered.txt \
  -exclude filter.xml target/classes/

输出格式

检测器分类

常用命令

CI/CD集成

Maven

<plugin>
  <groupId>com.github.spotbugs</groupId>
  <artifactId>spotbugs-maven-plugin</artifactId>
  <version>4.7.3.0</version>
  <configuration>
    <effort>Max</effort>
    <threshold>Low</threshold>
  </configuration>
</plugin>

Gradle

plugins {
  id "com.github.spotbugs" version "5.0.14"
}
spotbugs {
  toolVersion = '4.7.3'
  effort = 'max'
  reportLevel = 'low'
}

故障排除

版本兼容性解决：

export JAVA_HOME=/path/to/java17
java -jar $SPOTBUGS_JAR -textui target/classes/

技能版本: 1.0.0 工具版本: SpotBugs 4.7.3 + Find Security Bugs + fb-contrib 适用项目: Java 17及以下版本项目