PVS-Studio 8.00: статический анализатор кода поддержал JavaScript, TypeScript и Go

Вышла версия 8.00 статического анализатора кода PVS-Studio. Главное нововведение релиза — поддержка трёх новых языков: JavaScript, TypeScript и Go, помимо прежних C, C++, C# и Java. Одновременно выпущены плагины для WebStorm и GoLand, переработано расширение для Visual Studio Code и введён единый формат файла конфигурации pvs-settings.toml.

Три новых языка в одном инструменте

Анализаторы JavaScript/TypeScript и Go работают и в командной строке, и в IDE. Для каждого языка реализовано по 40 диагностических правил общего назначения и по одному правилу из группы OWASP. Они рассчитаны на дефекты, которые сложно заметить на код-ревью: эквивалентные операнды в условиях, недостижимый код, бесконечная рекурсия, ошибки приведения типов, некорректные форматные строки, неверная работа со счётчиками циклов.

Анализатор стал более привлекательным для компаний со смешанным стеком (C, C++, C#, Java, JS, TS, Go): один вендор и одна точка технической поддержки вместо отдельного инструмента на каждый язык.

Настройка один раз — одинаковый результат везде

В релизе появился единый формат конфигурации для новых анализаторов — файл pvs-settings.toml. Настройки анализа хранятся в репозитории рядом с кодом, поэтому на машине разработчика, на сборочном сервере и у подрядчика анализ выполняется одинаково. Это снимает типичную проблему внедрения, когда локально предупреждений нет, а сборка в CI падает.

Анализ там, где работают разработчики

Выпущены плагины для WebStorm и GoLand, переработан плагин для Visual Studio Code —анализатор настраивается прямо из панели настроек редактора. Плагин для Qt Creator поддерживает версии 20.x. Вместе с уже поддержанными Visual Studio, IntelliJ IDEA, CLion и Rider это значит, что разработчик видит предупреждение до того, как код уйдёт в pull request, — на стадии, где исправление обходится дешевле всего.

Соответствие отраслевым требованиям

16 диагностик группы MISRA приведены в соответствие со стандартом MISRA C++ 2023. Диагностики PVS-Studio также соотнесены с CWE, SEI CERT, OWASP и ГОСТ Р 71207–2024 — это упрощает подготовку отчётности для аудита и сертификации ПО, к которому предъявляются соответствующие требования по безопасности. MISRA C++ 2023 — действующая редакция отраслевого стандарта для встраиваемых и ответственных систем.

Новые интеграции

Создан новый раздел в документации по использованию PVS-Studio в платформе безопасной разработки SolidLab SDP. Теперь анализатор можно применять в качестве SAST инструмента при автоматизации процессов SSDLC средствами платформы.

Шаблоны сценариев PVS-Studio добавлены в коллекцию GitVerse Starter Workflow — подключить анализ к CI/CD-конвейеру можно из готового шаблона, минимально адаптировав команды под проект.

Embedded-разработчикам

Расширен список поддерживаемых сборочных окружений: через мониторинг/трассировку компиляции поддержаны kcc ARMV7 и TI C2000-CGT — это важно для встраиваемых проектов.

Что учесть при обновлении

Действующим пользователям стоит обратить внимание на несколько изменений: в проектах Unreal Engine перестал учитываться флаг //V_USE_OLD_PARSER, в Java-анализаторе добавлена сортировка содержимого suppress-файлов, изменены тексты сообщений правил V2558 и V547 (ранее подавленные предупреждения могут появиться снова), минимальная версия VS Code повышена до 1.100.