statische Codeanalyse

Question

Hi,

seit einiger Zeit lasse ich den Debug-Compile mit /analyze laufen.
Meine Lieblingsfehler:

CString Text, t1;
int n=5;
TCHAR s[101];

Text.Format("%d", t1);
Text.Format("%s", t1);
Text.Format("%s", n);

sprintf(s, "%d", t1);
sprintf(s, "%s", t1);
sprintf(s, "%s", n);

VS2008 hatte noch alles angemeckert, VS2010 meckert leider nur noch die 3 sprintf-Zeilen an, während es die gleich falschen Text.Format-Zeilen fuer OK haelt. (Genau wie es meine falsch verwendeten Funktionen ebenfalls für ok hält, obwohl ich diese mit _IN_z_ _FormatMessage_format_string markiert habe. VS2008 hatte noch Fehler entdeckt.)

Vor einiger Zeit hatte ich mich mal mit Coverity beschäftigt. Empfand es aber bei unserer Codemenge als zu teuer.

Zur Zeit schaue ich mir mal PVS-Studio an. Leider findet es nur die beiden Format("%s", n)-Varianten. Dafür findet es aber solche Sachen wie

CMyDialog Dialog;
delete Dialog;

Ich hätte ja gar nicht gedacht, dass sich das kompilieren lässt. (Wegen dem HWND-operator natürlich logisch, dass es geht).

Mit ca. 3000 EUR ist es immer noch recht teuer, aber es findet recht interessante Fehler/Problemstellen. Aber es ist ja quälend langsam...

Hat sich jemand für/gegen PVS entschieden? Wieso?
Welche Analysatoren sind sonst noch so "sehenswert"?

Tschüß, Holger.

Answer 1

Unfortunately, I can not read and understand the text in German. But if you have any questions about PVS-Studio, I am ready to answer them: karpov@viva64[dot]com

---

Andrey Karpov is technical manager of the OOO "Program Verification Systems" (Co Ltd) company developing the PVS-Studio tool which is a package of static code analyzers integrating into the Visual Studio development environment.

Answer 2

Ich hab erfahrung damit... das müsste ich Dir aber per PM zukommen lassen ;)

---

Jochen Kalmbach (MVP VC++)