Как не стоит преподносить результаты работы статического анализатора

[olekl]

Ну так про это еще Спольски писал, что в случаях, когда продукт стоит столько, что решение о его покупке принимают те, кто никогда с ним не будут работать, а мнение тех, кто будет реально с ним работать, не интересует от слова «совсем», происходит именно то, что описано здесь… Его будут продавать тем, кто принимает решение о покупке, а им и надо вместо хорошей работы и простых и понятных критериев «инновационность, безупречность и миссия», ага. И красивые бесполезные отчеты, их же все равно читать никто не будет…

А вам удачи! :)

[ilya_malov]

Статья похожа на крик души «Мы посмотрели маркетинговый буклет — там нет тех. подробностей. Значит все плохо!» :)
Не серьезно для такого ресурса…

Отчеты Coverity заточены под различные роли: Менеджер, Специалист по безопасности и т.д.
Разработчики вообще смотрят на результаты анализа через плагин в любимой IDE.

Странно искать технически подробности в отчете для Менеджера, не находите?

Кстати, почему нет таких же статей про IBM AppScan? Или HP Fortify SCA? А Coverity, между прочим, реально обходит их как по качеству сканирования, так и по функционалу (говорю как пользователь).

Эти продукты стоят так много денег не потому что других нет (вариантов как раз множество), а потому что действительно работают и решают проблемы больших коммерческих проектов.

[Andrey2008]

Я просто разместил объяву. Я просто сделал перевод. :)

[ilya_malov]

Просто странно видеть статью о «плохом» продукте от тех кто его не использовал в работе…
Тем более в блоге компании разрабатывающей аналогичное ПО.

У меня совершенно противоположная практика. У Coverity самый низкий FalsePositive рейтинг — показываются только проблемы которые реально оказывают влияние на безопасность и качество. Хочется увидеть over9000 «ошибок»: меняем настройки (ставим агрессивный режим сканирования) и наслаждаемся :) доводим код до идела (что далеко не всегда нужно).

[dmitrmax]

Раз у вас есть доступ к телу, не могли бы выложить какой-нибудь отчет Coverity? Какого-нибудь не очень большого open-source проекта, например?

[ilya_malov]

Только не в пятницу вечером!!! :))

На неделе прогружу что нибудь и выложу сюда.

Какие проекты интересуют?

[dmitrmax]

Интересуют не проекты, а результаты Coverity )

Если говорить о проектах, ну я не знаю, что он может проанализировать за нормальное время. PVC-Studio, например, у меня на одном проекте слёг. Оказалось, что от использования boost'а ему плохеет.

В принципе, давайте на злобу дня systemd ) и что-нибудь плюсовое… aptitude, например!

[xaizek]

Интересуют не проекты, а результаты Coverity )

У них на сайте, кстати, есть раздел OSS Success Stories, что-то можно глянуть там.

[dmitrmax]

Знаю я эти success stories, кроме диффов было/стало там ничего нет. Интересует репорт: что вообще нашлось, что было false positives, что было несущественным, какие типы ошибок и так далее.

[Andrey2008]

А вот про boost прошу feedback поподробнее. Воде как проблем не замечали. Но памяти правда много требуется. Быть может памяти не хватило?

[dmitrmax]

мы обсуждали в каком-то вашем топике, вы рекомендовали его исключить. проверял действительно на ноутбуке, так что возможно памяти не хватало. только у меня так и не дошли руки вернуться к этому

[Randl]

Было бы логично проверить что-нибудь из списка PVS. Желательно не слишком маленькое и относительно интересное типа того же OpenSSL.

[Andrey2008]

PVS-Studio всегда можно было скачать, установить и попробовать на своем проекте. Почему триал таков, каков он есть: habrahabr.ru/company/pvs-studio/blog/255379