静态分析（Static Code Analysis）：不运行程序，直接对源代码 / 字节码做词法、语法、语义、控制流、数据流、规则匹配分析，在编码、编译阶段就找出缺陷，区别于单元测试、压力测试这类动态测试（程序要跑起来）。
核心工作原理
词法 & 语法解析：解析代码生成抽象语法树 AST，识别括号不匹配、语法错误、关键字误用；
构建控制流图 CFG：梳理代码执行路径，分析分支、循环、跳转；
数据流分析：追踪变量的定义、赋值、使用、销毁；
类型推导：检查类型不匹配；
规则引擎匹配：内置编码规范、安全规则、缺陷模式库；
符号执行：模拟变量可能取值，探索潜在执行分支，发现边界问题；
污点分析（安全类）：跟踪外部输入（污点）是否流向高危操作。
可以发现哪些类型代码错误
1. 语法与基础编程错误
变量未定义、未初始化就使用；
变量定义后从未使用（死代码、冗余变量）；
类型不兼容，强制转换风险；
数组越界、空指针访问；
内存泄漏、资源未释放（文件句柄、连接未关闭，C/C++/Java）；
死代码：永远不会执行的 if 分支、return 后多余代码。
示例：Java
null对象调用方法，静态分析可以提前识别空引用风险，不用等到运行时 NPE。
2. 逻辑缺陷
条件判断写错：
=赋值代替==判断；循环边界错误，死循环风险；
逻辑表达式矛盾，条件永远 true/false；
变量重复赋值，中间值被覆盖；
返回值忽略：调用方法有返回错误码，但代码完全不接收判断。
3. 安全漏洞（SAST 静态应用安全测试）
SQL 注入、命令注入；
XSS 跨站脚本；
硬编码密码、密钥、token；
不安全加密算法、弱哈希；
输入未校验直接进入高危函数。
4. 编码规范、坏味道、可维护问题
命名不规范、函数过长、圈复杂度太高；
重复代码；
不符合团队编码规约（阿里 Java 规范、Google 风格）。
静态分析的优势
提前发现：编码阶段、CI 流水线就拦截，不需要写测试用例，问题发现越早修复成本越低；
全路径扫描：可以覆盖很多单元测试很难触达的异常分支；
自动化：集成 IDE（IDEA SonarLint）、CI/CD 流水线，每次提交自动检查；
不仅找 bug，还找安全漏洞、代码质量问题。
静态分析的局限性（很重要）
会产生误报：工具报出缺陷，但实际业务逻辑合法，需要人工甄别；
不能发现运行时才出现的问题：并发竞态条件、真实环境业务输入、第三方依赖运行期异常，静态分析能力有限；
不能 100% 找出所有 bug，只能找出符合已知缺陷模式的问题；需要和单元测试、动态测试、人工评审配合。
常见工具举例
Java：SonarQube、SpotBugs、Checkstyle、IDEA 内置检查
C/C++：Clang‑StaticAnalyzer、Cppcheck
Python：Pylint、Bandit
Go：golangci‑lint
JS/TS：ESLint
简单总结
静态分析工具把代码翻译成模型（AST、CFG、数据流），对照已知错误模式、安全规则做检查，不运行程序就提前揪出空指针、内存、逻辑、安全类问题，在 IDE 和 CI 中做门禁；但存在误报，不能完全替代测试与代码评审。
本文原创作者：易君召，详见：https://www.yijunzhao.cn/authors/yijunzhao，转载请注明出处。
原文链接
欢迎访问 小易撩挨踢