众所周知，静态代码分析可以协助开发人员改进程序代码的质量。而在DevOps实践中，我们通过将静态分析集成到正在开发的工作流程中，从而在开发的早期阶段解决代码的质量问题。当然，这也使得持续集成(CI)流程增加了一个额外的阶段--每当有新的代码产生合并请求时，CI服务器(或第三方服务)便会开始分析代码的质量，并将结果放入合并请求中，以供提交者和代码审查者使用。
为了让审查者更需专注于代码本身，我们往往需要自动化的代码审查工具，与开发周期相集成，以实现即使新的代码尚未合并到主代码库中，也能够执行代码审查。您可以根据实际项目所用到的技术栈，从如下七种工具中进行选择，并无缝地集成到现有的工作流中。
1. DeepSource
DeepSource是一种静态分析工具，可用于查找反模式、代码缺陷、运行性能等方面的问题。除了代码检测，DeepSource还会生成并跟踪诸如：依赖项计数、文档覆盖率等指标。DeepSource的Autofix功能可以提出各种修复建议，并使用户能够针对常见问题创建提取请求。目前，DeepSource能够与Bitbucket、GitHub或GitLab等帐户轻松地相整合。此外，DeepSource还提供自动化的拉取请求，以方便分析器扫描已更改的文件，并将识别出的问题，直接报告并发送给UI。
主要特点
- 相对其他工具，其分析器能够检测到更多的缺陷。
- 能够自动修复各种问题，以及格式化代码。
- 提供更好的集成和开发人员体验。
- 能够保证误报率低于5%。
- 可选择性地忽略某些暂不处理的问题。
缺点
- 不支持PHP语言。
价格：DeepSource可被免费用于开源组织、学生组织、以及非营利组织。其售价为每用户每月12美元。
2. Codacy
Codacy能够协助开发人员通过解决程序中的技术难题，来提高代码的质量。它可以从代码复杂性、兼容性、易错性、安全性、以及代码样式等方面，来衡量代码的质量。Codacy也可以根据待实现的项目目标，按照文件或类别，来提供需要遵循的步骤、以及解决问题的建议。
主要特点
- 能够从代码样式、安全性、错误倾向性、性能、以及未用到的代码等类别跟踪问题。
- 可分析提交和拉取请求。
- 能够对提交和拉取请求实现自动注释。
缺点
- 缺乏与其他SaaS服务的集成，包括：Sonatype、Blackduck、由AWS API Gateway提供的API QOS指标，以及UI/E2E的各种Saas测试服务。
- 无法加密项目的相关信息，或限制对UI源代码的访问。
- 其用户社区相对较小。
价格：Codacy既提供免费的开源计划，又具有起售价为每用户每月15美元的高级计划。
3. Code Climate
Code Climate既是一种代码覆盖率工具，又是一种自动化的源代码审查器。通过与GitHub等平台的集成，它能够在持续集成的过程中，针对代码库的重复性、复杂性、样式等因素进行维护检查。同时，Code Climate能够根据各种既定的标准，对目标代码环境的可维护性，进行从A到F的分级。
主要特点
- 对拉取请求提供代码审查级的注释。
- 能为每个拉取请求生成测试覆盖率。
- 使用CLI或IDE集成的方式，在本地执行分析。
缺点
- 无法预测API。
- 不支持Objective-C。
- 其报告中只有带有源代码的标头，不提供对于发现问题的详细描述。
- 只能将所有问题都以分页列表的形式显示，无法提供搜索/过滤。
价格：Code Climate对于10个用户数以下的团队是免费的，其入门版的起售价为449美元，而企业版的起售价为649美元。
4. Codebeat
作为一种自动化代码审查工具，Codebeat可以将静态代码分析的结果，收集到一个包含了代码风格、安全漏洞、待改进代码等信息的实时报告中。与流行工具--Code Climate的A到F分级标准类似，Codebeat使用的是4.0的等级系统。不过，与Code Climate不同的是，Codebeat通过使用算法，来分析代码的复杂性。
主要特点
- 作为一款出色的团队管理工具，它可以为项目中的流动人员分配不同的访问级别。
- 能够与Slack、GitHub、Bitbucket和GitLab相集成。
缺点
- 无法检测安全相关问题。
- 不支持CSS/SCSS的分析。
价格：Codebeat公共存储库是免费的，而私有存储库则需每月收费20美元(https://codebeat.co/pricing)。
5. Sonarcloud
Sonarcloud是一种基于云的代码质量工具与安全服务。它通过强大的静态代码分析能力，来跟踪成千上万种难以被发现的错误和质量问题。同时，它也能根据检测报告，估算代码的覆盖率。Sonarcloud为分析器提供了大量的规则，其中包括有关代码风格、错误、以及漏洞等方面的186种不同类型的JavaScript规则。
主要特点
- 当检测到特定的违规代码时，它能够阻断拉取请求。
- 能够发送带有注释的分析报告。
- 如果代码质量或安全性与需求不匹配，则会将管道设置为失败。
缺点
- 不提供对于已编译语言的自动扫描。
价格：Sonarcloud的社区版是免费且开源的。如果用户的代码行数(LOC)达到100k，则起售价为每月10欧元。
6. Embold
作为一个静态分析平台，Embold提供了AI辅助代码测试，可识别代码的脆弱性与漏洞，并能提出相应的解决方案。它不但提供了云端和本地实例，而且为Intellij IDEA提供了免费的插件，因此您可以使用其快速扫描程序，来检测Java代码中潜在的错误、漏洞和代码风格，并在团队编辑代码时提供实时的反馈。通过其评级功能，用户可以一次性了解代码的整体质量，并获悉存在问题的区域。
主要特点
- 其质量门(Quality Gates)功能允许用户设置存储库的质量阈值。
- 其推荐引擎(Recommendation Engine，beta版)可以通过“学习”曾在代码库中发现到的问题，提前在新的代码被提交之前，解决各种潜在问题。
- 其反模式可视化(Antipattern Visualization)功能能够以图形化的表示形式，解读各种反模式。
缺点
- 售价偏高。
价格：Embold的基本版本是开源免费的。如果用户的代码行数(LOC)达到500k，则起售价为每月10欧元。
7. CodePeer
CodePeer是针对Ada和Java语言的代码审查工具。通过逐行分析代码的方式，它既能发现运行时可能出现的失败点，又能发现疑似多余的、以及不能被代码库访问的程序代码。此外，CodePeer还能够在前置条件和后置条件的环境中，对每个子程序进行详细分析，以发现潜在的错误和漏洞。
主要特点
- 可作为独立工具运行在Windows和Linux平台上。
- 可被用于集成测试和单元测试。
- 随附有诸如编码标准检查器(GNATcheck)，指标计算器/报告器(GNATmetric)等其他工具。
缺点
- 售价较贵。
- 用户社区较小。
价格：请参见链接--https://www.adacore.com/pricing。
小结
综上所述，我们在选择自动化持续代码审查工具时，需要综合考虑到如下方面：
- 可否分析具有大量规则的静态代码。
- 是否支持集成的种类与数量。
- 是否有完备的文档。
- 是否易于使用、且灵活。
- 各种更新策略。
- 许可证的费用。
- 客户支持的力度。
原文标题：7 Continuous Code Quality and Automated Code Review Tools，作者：Shubhendra Chauhan
【51CTO译稿，合作站点转载请注明原文译者和出处为51CTO.com】
原文地址：https://developer.51cto.com/art/202103/654137.htm
