目录
简介
Findbugs是一个静态分析工具，它检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。Findbugs自带检测器，其中有60余种Bad practice，80余种Correctness，1种 Internationalization，12种Malicious code vulnerability，27种Multithreaded correctness，23种Performance，43种Dodgy。我们还可以自己配置检查规则(做哪些检查,不做哪些检查)，也可以自己来实现独有的校验规则(用户自定义特定的bug模式需要继承它的接口,编写自己的校验类)。
IDEA安装FindBugs
(1)在线安装：菜单File->Settings->Plugins->Browse repositories…->搜索框内搜索FindBugs->得到结果FindBugs-IDEA，下载(install)并重新启动就ok了。
(2)离线安装：首先要下载FindBugs压缩包,下载网址：
FindBugs压缩包
,然后菜单File->Settings->Plugins->Install plug from disk->选择你下载的FindBugs压缩包(因为包含jar包较多),然后apply->OK,重启就ok了。
FindBugs-IDEA
IDEA版本新一点的装不上, 评论说用Spotbugs替换了
Findbugs配置
配置排除一些类
选择xml文件, 例如findbugs-exclude-filter.xml
<?xml version="1.0" encoding="UTF-8"?>
<FindBugsFilter>
<!--过滤类-->
<Match>
<Class name="com.baidu.model.PageQuery" />
</Match>
<!--过滤所有DO,VO等后缀的类-->
<Match>
<Class name="~.*\.*(DO|Param|VO|Model|Event|Response|Query|Vo)"/>
</Match>
<!--过滤包-->
<Match>
<Package name="com.baidu.model" />
</Match>
<!--过滤方法-->
<Match>
<Class name="com.baidu.service.TestServiceImpl" />
<Method name="getListData"></Method>
</Match>
<!--过滤异常-->
<Match>
<!--装箱后拆箱紧接着装箱，忽略不处理 -->
<!-- Boxed value is unboxed and then immediately reboxed-->
<Package name="~.*" />
<Bug pattern="BX_UNBOXING_IMMEDIATELY_REBOXED" />
</Match>
</FindBugsFilter>
扫描级别
Minimum rank to report错误信息分成了3个级别
Findbugs将错误信息分成了3个级别，依据严重程度High>Medium>Low，用户可以根据需要进行筛选。比如：
（1）High选择项，只有是High级别的提示信息才会被显示。
（2）Medium选择项，只有是Medium和High级别的提示信息才会被显示。
（3）Low选择项，所有级别的提示信息都会被显示。
此外，还有一个拖动条供选择rank等级（1-20），rank越高，严重程度越低，显示的信息越多。一般选择14，15就差不多够用了。
IDEA中使用FindBugs:
选中项目，包，类，右击鼠标，选择FindBugs,
- Analyze Selected File(s)单个文件
- Analyze Package(s) Files包下文件
- Analyze Module Files整个module
- Analyze Project Files整个工程
一些常见错误
Bad practice 坏的实践，主要是代码中的一些坏习惯，没有按Java规范来, 下面列举几个：
HE：类中equals()与hashCode()没有同时定义，或者使用了错误的对象的hashCode()或equals()。
SQL：Statement 的execute方法调用了非常量的字符串；或Prepared Statement是由一个非常量的字符串产生。
DE： 方法终止或不处理异常，一般情况下，异常应该被处理或报告，或被方法抛出。
Correctness 一般的正确性问题，可能导致错误的代码，下面列举几个：
NP： 空指针被引用；在方法的异常路径里，空指针被引用；方法没有检查参数是否null；null值产生并被引用；null值产生并在方法的异常路径被引用；传给方法一个声明为@NonNull的null参数；方法的返回值声明为@NonNull实际是null。
Nm： 类定义了hashcode()方法，但实际上并未覆盖父类Object的hashCode()；类定义了tostring()方法，但实际上并未覆盖父类Object的toString()；很明显的方法和构造器混淆；方法名容易混淆。
SQL：方法尝试访问一个Prepared Statement的0索引；方法尝试访问一个ResultSet的0索引。
UwF：所有的write都把属性置成null，这样所有的读取都是null，这样这个属性是否有必要存在；或属性从没有被write。
Internationalization 国际化，当对字符串使用upper或lowercase方法，如果是国际的字符串，可能会不恰当的转换。
Malicious code vulnerability 可能受到的恶意攻击，如果代码公开，可能受到恶意攻击的代码，下面列举几个：
FI： 一个类的finalize()应该是protected，而不是public的。
MS：属性是可变的数组；属性是可变的Hashtable；属性应该是package protected的。
Multithreaded correctness 多线程的正确性，多线程编程时，可能导致错误的代码，下面列举几个：
ESync：空的同步块，很难被正确使用。
MWN：错误使用notify()，可能导致IllegalMonitorStateException异常；或错误的使用wait()。
No： 使用notify()而不是notifyAll()，只是唤醒一个线程而不是所有等待的线程。
SC： 构造器调用了Thread.start()，当该类被继承可能会导致错误。
Performance 性能问题，可能导致性能不佳的代码，下面列举几个：
DM：方法调用了低效的Boolean的构造器，而应该用Boolean.valueOf(…)；用类似Integer.toString(1) 代替new Integer(1).toString()；方法调用了低效的float的构造器，应该用静态的valueOf方法。
SIC：如果一个内部类想在更广泛的地方被引用，它应该声明为static。
SS： 如果一个实例属性不被读取，考虑声明为static。
UrF：如果一个属性从没有被read，考虑从类中去掉。
UuF：如果一个属性从没有被使用，考虑从类中去掉。
Dodgy 危险的，具有潜在危险的代码，可能运行期产生错误，下面列举几个：
CI： 类声明为final但声明了protected的属性。
DLS：对一个本地变量赋值，但却没有读取该本地变量；本地变量赋值成null，却没有读取该本地变量。
ICAST： 整型数字相乘结果转化为长整型数字，应该将整型先转化为长整型数字再相乘。
INT：没必要的整型数字比较，如X <= Integer.MAX_VALUE。
NP： 对readline()的直接引用，而没有判断是否null；对方法调用的直接引用，而方法可能返回null。
REC：直接捕获Exception，而实际上可能是RuntimeException。
ST： 从实例方法里直接修改类变量，即static属性。
Class names should start with an upper case letter 主要包括类名的命名，以大写字母开头
Method names should start with a lower case letter 方法名以小写字母开头
Field names should start with a lower case letter 字段名以小写字母开头
equals()method does not check for null argument equals()方法应该检查非空
Class defines equals() and uses Object.hashCode() 一个类覆写了equals方法，没有覆写hashCode方法，使用了Object对象的hashCode方法
Method ignores exceptional return value 方法忽略返回值的异常信息
Equals method should not assume anything about the type of its argument equals(Object o)方法不能对参数o的类型做任何的假设。比较此对象与指定的对象。当且仅当该参数不为 null，并且是表示与此对象相同的类型的对象时，结果才为 true。
Comparison of String objects using == or != 用==或者！=去比较String类型的对象
Method might ignore exception 方法可能忽略异常
Method invokes System.exit() 在方法中调用System.exit(…)语句，考虑用RuntimeException来代替
Method ignores result of InputStream.read() InputStream.read方法忽略返回的多个字符，如果对结果没有检查就没法正确处理用户读取少量字符请求的情况。
Dodgy code 糟糕的代码(一般是没有按Java规范来写代码，或语句不全，类型转换，多余的语句，判断)
Switch statement found where default case is missing Switch没有默认情况下执行的case语句
Switch statement found where one case falls through to the next case Switch语句中一个分支执行后又执行了下一个分支。通常case后面要跟break 或者return语句来跳出。
Dead store to local variable 该指令为局部变量赋值，但在其后的没有对她做任何使用。通常，这表明一个错误，因为值从未使用过。
Write to static field from instance method 在实例方法写入静态字段
Redundant nullcheck of value known to be non-null 方法中对不为空的值进行为空的判断。
Method uses the same code for two branches 此方法使用相同的代码，以实现两个有条件的分支。检查以确保这是不是一个编码错误
Exception is caught when Exception is not thrown 在try/catch块中捕获异常，但是异常没有在try语句中抛出而RuntimeException又没有明确的被捕获
Integral division result cast to double or float 整形数除法强制转换为double或者float类型。
Possible null pointer dereference due to return value of called method 方法的返回值没有进行是否为空的检查就重新赋值，这样可能会出现空指针异常。
Useless object created 对象创建了并没有用
Unread public/protected field 没有用到的字段
Internationalization 关于代码国际化相关方面的
Consider using Locale parameterized version of invoked method
使用平台默认的编码格式对字符串进行大小写转换，这可能导致国际字符的转换不当。使用以下方式对字符进行转换
Performance 关于代码性能相关方面的(多为声明了无用的属性)
Boxing/unboxing to parse a primitive 类型转换 比如字符串转换成int 应该使用Integer.parseInt(“”) 代替Integer.valueOf(“”)
Method concatenates string using + in aloop
每次循环里的字符串+连接，都会新产生一个string对象，在java中，新建一个对象的代价是很昂贵的，特别是在循环语句中，效率较低
解决办法：使用StringBuffer或者StringBuilder重用对象。
Private method is never called 私有方法没有被调用
Explicit garbage collection;extremely dubious except in benchmarking code
在代码中显式的调用垃圾回收命名，这样做并不能起作用。在过去，有人在关闭操作或者finalize方法中调用垃圾回收方法导致了很多的性能浪费。这样大规模回收对象时会造成处理器运行缓慢。
Unread field:should this field be static? 没有用到的static 字段
should be a static inner class 此内部类应该使用static修饰
Experimental
Method may fail to clean up stream or resource on checked exception
这种方法可能无法清除（关闭，处置）一个流，数据库对象，或其他资源需要一个明确的清理行动
解决方法：流的关闭都写在finally里面
Malicious code vulnerability 关于恶意破坏代码相关方面的(主要是一些属性,建议改为private并为其提供get,set方法 )
May expose internal representation by incorporating reference to mutable object
此代码把外部可变对象引用存储到对象的内部表示。如果实例受到不信任的代码的访问和没有检查的变化危及对象和重要属性的安全。存储一个对象的副本，在很多情况下是更好的办法。
Field isn’t final but should be 此字段前应该加final
Field isn’t final and can’t be protected from malicious code 此字段前应该加final
Field should be package protected
一个静态字段是可以被恶意代码或其他的包访问修改。可以把这种类型的字段声明为final类型的以防止这种错误。
Multithreaded correctness 关于代码正确性相关方面的
Static DateFormat DateFormat 在多线程中本身就是不安全的，如果在线程范围中共享一个DateFormat的实例而不使用一个同步的方法在应用中就会出现一些奇怪的行为。
Call to static DateFormat DateFormats多线程使用本事就是不安全的,改进方法：需要创建多实例或线程同步
Correctness 关于代码正确性相关方面的
Nullcheck of value previously dereferenced 此代码之前废弃null值检查。解决办法 进行null检查
Possible null pointer dereference 可能为null
Possible null pointer dereference in method on exception path 在异常null值处理分支调用的方法上，可能存在对象去除引用操作
value is null and guaranteed to be dereferenced on exception path exception分支上，存在引用一个null对象的方法，引发空指针异常。
Self comparison of value with itself 方法中对一个局部变量自身进行比较运算，并可说明错误或逻辑错误。请确保您是比较正确的事情。
An apparent infinite recursive loop 明显的无限迭代循环,将导致堆栈溢出.
补充
Multithreaded correctness
Sleep with lock held 当持有对象时调用Thread.sleep（）。这可能会导致很差的性能和可扩展性，或陷入死锁，因为其他线程可能正在等待获得锁。调用wait（）是一个更好的主意，释放对象的持有以允许其他线程运行。注意:sleep方法没有释放锁，而wait方法释放了锁
Correctness
Null pointer dereference 空指针取消引用
Method call passes null for non-null parameter 方法调用为非null参数传递null
Non-virtual method call passes null for non-null parameter 非虚拟方法调用为非null参数传递null
Security 关于代码安全性防护
HTTP Response splitting vulnerability HTTP响应拆分漏洞
HTTP parameter directly written to HTTP header output 估计是把参数直接写进头部了 ，没有做任何处理
// responses.setHeader("Access-Control-Allow-Origin", originHeader);
responses.addHeader("Access-Control-Allow-Origin", URLEncoder.encode(originHeader, StandardCharsets.UTF_8.displayName()));
版权声明：本文为qq_44695727原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。