FindBugs bug 等级、类别和类型的关系

Question

我正在使用 FindBug，我想了解它生成的 .XML 报告以用于文档目的。

我得到的样本如下。

<BugInstance type="RANGE_ARRAY_INDEX" priority="2" rank="7" abbrev="RANGE" category="CORRECTNESS" first="1">

因此，CORRECTNESS 类别的 RANGE_ARRAY_INDEX 类型似乎具有 7 等级，因此它是 scary 之一。那么它总是真实的吗？ RANGE_ARRAY_INDEX 总是一个 scary 吗？

我找不到任何提及它们之间关系的资源。

我提到了FindBugs Bug Descriptions和FindBugs 2 site 和this SO question which dose not have a clear answer

看起来我们有几个类别，

1. 不好的做法
2. 正确性
3. 实验性
4. 国际化
5. 恶意代码漏洞
6. 多线程正确性
7. 性能
8. 安全性
9. 狡猾的代码

还有

• 最可怕的（1-4），
• 吓人 (5-9)，
• 麻烦（10-14）
• 关注（排名 15-20）

我们有很多类型，就像文档中一样。

谁能帮我解决这个问题？

Answer 1

David Harkness 有一个answer 很好地解释了它，部分引用如下。我还检查了SpotBugs code。 SpotBugs 是FindBugs' successor。简而言之：

• Type - 这只是找到的 BugPattern 的名称。
• 类别 - 该类别用于对 BugPatterns 进行分组，在 FindBugs 中硬编码。例如，RANGE_ARRAY_INDEX 将始终属于 CORRECTNESS 类别（由 DumbMethods 检测器报告）。
• 排名 - 排名是复杂计算的结果，可能会有所不同，并表明发现的错误的严重性。 从 20（最低）到 1（最高）不等，UI 将值分为四类：scariest、scary、troubling 和 of concern。（Harkness）因此，某个 NullPointerException 可能会得到 1，而潜在的性能改进可能只会得到 12。
• 优先级 - 也是一个变化的计算值。它表明发现的错误实际上是错误的信心。 FindBugs 采用可能出错的启发式方法。它从 1（最高置信度）到 5（最低置信度，可忽略）不等。很长一段时间以来，优先级都被重命名为信心，以便更清楚地说明这一点。出于兼容性原因，XML 仍然显示 priority。