首页 > 编程语言 > 七种Python代码审查工具推荐
2021
03-10

七种Python代码审查工具推荐

虽然Python语言可谓目前最为灵活的开发语言之一,但是开发人员往往会滥用其灵活性,甚至会违反相关的标准。因此,Python代码也经常会出现如下常见质量问题:

  • 导入了一些未曾用到的模块
  • 函数在各种调用中缺少参数
  • 缺少适当的格式缩进
  • 在圆括号、方括号或大括号的前后缺少恰当的空格

显然,上述问题不但会影响代码的可读性,而且会使得代码的审查工作变得更为复杂。为此,我们需要通过诸如PyLint或Flake8

之类的静态分析工具来解决此问题,并减少各种可能出现的误报现象。

与此同时,随着软件开发团队规模的扩大,许多开发人员经常需要使用静态代码分析工具(Static Code Analysis Tool),在开发的早期阶段,协助团队尽早地识别出各种代码级别的错误,以及反模式(anti-patterns)上的漏洞。

总体而言,静态代码分析工具会在每次提交或提取请求时,分析目标程序代码,并在软件产品的实际部署与发布之前,发现程序代码在质量、安全性、以及样式等各类问题。在本文中,我将向您介绍适合开发者的七种最佳Python代码审查工具,以方便您根据实际开发项目做出选择。

1. DeepSource

DeepSource针对各种通用编程语言(例如Python、Javascript、Golang等),提供了静态代码分析。在实际使用中,DeepSource会生成一个能够被嵌入在存储库中的配置文件,以便对代码进行持续分析。由于提供了自定义的功能,因此我们可以使用DeepSource来轻松地开展,针对Python代码的静态分析。

DeepSource的主要功能包括:

  • 可以通过单个文件配置,来进行持续分析
  • 支持诸如Black和AutoPep8之类的风格代码排版工具
  • 能够对每个拉取请求进行质量检查
  • 提供对于常见问题的自动修复
  • 可嵌入到Travis CI之类的CI/CD管道中,以提高测试覆盖率

与其他各种静态代码分析工具相比,DeepSource提供了较低的误报率和解决用时。由于提供了与对应框架的访问权限,因此维护人员可以轻松地使用DeepSource进行应用审查。

此外,为了方便对私有存储库执行各项操作,DeepSource能够对于每个拉取请求或提交,使用专用的令牌来获取代码,并且在隔离的环境中进行分析。而在分析完成后,它会主动清除代码库,以减少安全风险的暴露。

2. Codacy

Codacy可以为各种通用编程语言(如Python)提供代码审查,提交有关代码覆盖率、重复率和复杂性等方面的报告。同时,它可以帮助开发人员在保持代码完整性的基础上,开展“纯净”的代码审查。

Codacy的主要功能包括:

  • 提供代码审查的自动化
  • 可以持续分析代码的质量
  • 通过提供各种自动化的资源建议,来提醒开发人员
  • 可以通过屏蔽“噪声”,让用户专注于新出现的问题
  • 能够单独地分析各个拉取请求与提交

主要缺点是:

  • 无法让开发人员对发现的问题进行优先级排序
  • 缺少可导出代码模式的功能
  • 设置与配置页面较为复杂
  • 误报率较高

3. SonarQube

SonarQube以执行自动检查的方式,提供了对于代码质量的持续分析。作为一种静态代码分析工具,它可以发现Python中的代码错误、反模式、以及安全漏洞。当然,SonarQube也很容易与CI/CD管道相匹配,进行有效的代码质量管理。

SonarQube自带了两个子工具,其中Sonar Scanner负责执行分析,SonarQube Server则负责对结果进行管理和保存。

SonarQube的主要功能包括:

  • 可识别诸如安全漏洞,以及执行路径错误等棘手的问题
  • 通过提供对Webhooks(微服务API使用的一种范式)和API的访问,来自动执行代码的审查过程
  • 可根据不同的要求和实践,来加强质量关(quality gate)
  • 通过提供各种流行IDE的插件,从而减轻了对整体软件包的需求

主要缺点是:

  • 缺乏设置自动分析和警报能力
  • 缺乏对某些问题的选择性忽略或不予修复功能
  • 由于需要通过安装软件包和插件,来设置客户端分析和服务器端存储,因此为Python项目设置SonarQube较为复杂,您可以查看其官方文档,以了解更多有关如何为Python项目配置SonarQube的信息

4. Veracode

Veracode是另一款流行的Python代码审查工具。它不仅提供了针对常见漏洞和安全暴露的扫描,而且能够通过静态分析,来识别并报告反模式等问题。此外,Veracode还可以提供包括交互式分析和动态分析在内的其他企业级产品。

Veracode的主要功能包括:

  • 通过提供开发者工具、API和工作流的集成,以简化代码质量的检查
  • 可与DevOps管道无缝集成
  • 其基于SCA代理的扫描,可用于发现各种问题与漏洞
  • 其代码库和许可证可与PyPi(Python Package Index)保持同步
  • 在每次扫描后,都能转发有关风险的评级

主要缺点是:

  • 缺乏一劳永逸的持续集成设置
  • 缺乏直观的用户体验

总的说来,安装和设置基于Veracode代理的扫描代理相对比较容易。您可以使用Python的标准软件包管理器—pip,来安装该工具,并执行代码分析。不过,Veracode既缺乏优化扫描的功能,又缺乏针对特定语言的建议。

5. Checkmarx

Checkmarx是一款应用安全性测试和静态代码分析的工具。它提供了静态应用测试、运行时(runtime)、交互式测试、依赖项扫描等功能,可轻松地通过扫描源代码,来消除各种漏洞。

Checkmarx的主要功能包括:

  • 用户可使用Checkmarx SAST,来进行静态分析,并查找各种安全漏洞
  • 提供与CI/CD管道的集成
  • 具有直观易用的用户界面
  • 提供各种流行的IDE插件

主要缺点是:

  • 误报率较高
  • 在持续集成的过程中,需要花费大量时间进行扫描

客观来说,Checkmarx的优势在于,无需配置即可为大多数通用编程语言,提供原生的支持。其劣势集中在误报率较高,且缺乏对大型代码库的支持。

6. Coverity

作为一个静态分析工具,Coverity旨在查找和修复各种通用编程语言(如Python、Javascript、Ruby、Java等)中的缺陷。波音和洛克希德·马丁等明星公司都会使用Coverity,来进行软件代码的测试和扫描。

Coverity的主要功能包括:

  • 通过测试各种可能执行到的路径,来减少误报率
  • 易于设置和自定义,可灵活地满足开发需求
  • 提供设置向导,以方便指定Python的路径
  • 能够轻松地与GitHub、Jenkins和Travis CI等工作流程相集成

主要缺点是:

  • 其许可程度取决于需要分析的代码行数
  • 与市场上的同类产品相比,其价格过高
  • 当被测代码库庞大且复杂时,为了满足覆盖范围,其运行时间较长。

7. CodeScene

CodeScene不仅是一款静态代码分析工具,而且能够提供行为分析,以方便开发人员根据代码库的演化,以识别不同的模式。用户既可以通过Git服务提供商(如Github或Bitbucket)去调用CodeScene,也可以在本地直接使用。

CodeScene的主要功能包括:

  • 可以分析版本控制的历史记录,并产生可视化的效果
  • 能够方便开发者发现各种错误和问题
  • 可以使用机器学习算法,来查找不同的模式
  • 可以根据业务需求来调整代码质量
  • 不但能够确保团队远离技术风险,还能够协助识别生产环境中的各种瓶颈

主要缺点是:

  • 缺乏直观的用户界面
  • 用户难以跟进错误并改进代码

小结

综上所述,代码审查工具可以协助开发人员识别到现有代码的复杂性,查找出各种反模式之类的问题、以及安全缺陷,并能够让代码审查与修复的过程更加高效。因此,您可以根据手头项目的特征,酌情进行选择与试用。

以上就是七种Python代码审查工具推荐的详细内容,更多关于Python代码审查工具推荐的资料请关注自学编程网其它相关文章!

编程技巧