工具简介
1. Android Lint
Android Lint 是在ADT 16提供的新工具，它是一个代码扫描工具，专为Android程序代码设计，能够帮助我们识别代码结构存在的问题，检查内容包括但不限于如下的方面
- 布局性能（以前是 layoutopt工具，可以解决无用布局、嵌套太多、布局太多）
- 未使用到资源
- 不一致的数组大小
- 国际化问题（硬编码）
- 图标的问题（重复的图标，错误的大小）
- 可用性问题（如不指定的文本字段的输入型）
- manifest文件的错误
更多的检查规则请查看 http://tools.android.com/tips/lint-checks。
Lint是命令工具，它已经完美的集成到了Eclipse和Android Stuido中，我们可以方便的使用。
2. FindBugs / QA Pulgin
FindBugs 一个静态分析工具，它检查类或者JAR 文件，将字节码与一组缺陷模式进行对比以发现可能的问题。对一些Android特性的内容无法检查，如AndroidManifest文件。 Findbugs自带检测器，其中有60余种Bad practice，80余种Correctness，1种 Internationalization，12种Malicious code vulnerability，27种Multithreaded correctness，23种Performance，43种Dodgy。同时提供自己配置检查规则（属于高级功能）。检查内容包含但不限于如下方面：
- NullPoint空指针检查
- 没有合理关闭资源
- 字符串相同判断错（==，而不是equals）
QA Pulgin 集合了FindBugs、PMD、CheckStyle的组合插件工具，其中：
- FindBugs 如上所述，基于Bug Patterns概念，查找javabytecode（.class文件）中的潜在bug
- PMD 是一款采用BSD协议发布的Java程序代码检查工具，可以做到检查Java代码中是否含有未使用的变量、是否含有空的抓取块、是否含有不必要的对象等
- CheckStyle 是SourceForge下的一个项目，提供了一个帮助JAVA开发人员遵守某些编码规范的工具。它能够自动化代码规范检查过程，从而使得开发人员从这项重要，但是枯燥的任务中解脱出来。
FindBug 和 QA Pulgin 作为开发插件已覆盖了Eclipse和Android Stuido，可方便使用。
活跃度:
- Android Studio版本FindBugs 下载量 606446
- Android Studio版本QA Plug 下载量 137272
3. 360火线
360火线 是360公司推出的anroid App免费的静态扫描工具，目前火线扫描规则共覆盖六大类，约61个检查规则：
- APP安全检查
- 代码规范检查
- 内存泄露检查
- 日志输出检查
- 空指针检查
- 多线程检查
详细内容查看 http://magic.360.cn/document.html
目前有jar包版本（即使用命令行）和Android Studio插件版本，使用方便，同时支持Gradle部署和Jenkins集成。
活跃度： android studio版本插件下载量 3751次
4. Godeyes
Godeyes专注于无线App代码Crash隐患静态扫描，主要有以下特性：
- 扫描规则提取来自APP的典型crash案例代码，并且在持续增加中。
- 覆盖已有无线代码扫描工具(findbugs、PMD、checker等)的扫描盲区。
- 准确率不低于90%。
- 支持Android、iOS APP代码扫描。
- 客户端工具安装部署快捷，Eclipse插件版本、Mac一键式命令行版本。
- 扫描规则可定制，提供多种格式的扫描报告。
目前，Android客户端的扫描规则为25条，iOS的扫描规则为20条�，其活跃度：
- Android Eclipse插件版本 下载量 2502
- Android Jenkins版本 下载量 2298
- Android Studio版本 下载量 1743
- iOS版本 下载量 1526
5. Infer
Infer 是一个静态程序分析工具,可以对 Java、C 和 Objective-C 程序进行分析，此工具是用 OCaml 写成的。
Infer 最早部署在 Facebook 内部，用于发布移动应用之前对每一行代码进行分析，目前 Facebook 使用此工具分析所开发的 Android、iOS 应用,包括 Facebook Messenger、Instagram 和其他一些应用。 Infer 不仅仅用于移动应用程序的分析，还可以分析 C、Java 等不是 Android 系统的代码。Infer 着重于发现一些诸如空指针的访问、资源和内存的泄露等导致手机程序崩溃或性能严重下降的问题。
目前版本中, Infer 在Android系统的检查方面主要是以下两个方面
- Resource leak （资源导致的内存泄露，如资源打开但是没有关闭）
- Null dereference (空指针异常)
活跃度：GitHub 上 star 数为6778（考虑到大部分人都是直接用而不去star，�所以6778已是一个很高的关注量）
比较与结论
1. 比较
| 名称 | 检查规则覆盖 | 问题发现率 | 社区认可度 | 业界使用范围 |
|---|---|---|---|---|
| Android Lint | 专为Android程序制定，检查规则范围广，较为全面的覆盖了Android应用的方方面面 | �没能覆盖对SQL注入的检查 | �极高，已成为Androd SDK的一部分 | 用广泛，作为基础的检查工具 |
| Findbugs/ QA Plug | 从Java语言的角度对类和.class文件进行扫描, 未能覆盖Android其他特性�的检查，如Layout文件 | 没能覆盖对SQL注入的检查，�没能覆盖�android的非java代码的内容检查 | 高，�Android Studio和Eclipse的插件评分均在4分以上，同时被下载次数有十多万以上 | 广泛，但不是所以使用者都是用于检查Android程序 |
| 360火线 | 是对Android Lint�规则的补充，结合360自身产品的情况，制定了有限的检查规则 | 可以覆盖SQL注入检查，但�检测规则有限 | 较低，多为国内用户，�android stuido上的插件下载�量为 3000左右 | 已知的产品多为360自身的产品内容 |
| Godeyes | 覆盖已有代码扫描工具(findbugs、PMD、checker等)的扫描盲区 | �扫描规则有限 | 较低，多为国内用户�android stuido上的插件下载�量为 2500左右 | 无有效�数据说明 |
| Infer | 仅覆盖两项内容 （Resource leak 、Null dereference） | �有限，诸多android特性的内容未覆盖 | 高， gitHub上�star数为6778 | 除Facebook已将其纳入App开发流程的一部分外，�也被用于检测其他知名产品，但无详细数据。 |
2. 结论
首先，Android Lint 是必须使用的，其内容涵盖了大部分Android的检测内容；其次，Infer和FindBugs/QA Plug都是在Java�语言层面上的检查，且Infer覆盖内容有限，所以FindBugs更适合作为Android Lint的��在Java语言层的补充；最后360火线和Godeyes�都是实践总结规则对Android�应用进行检查，其内容与Android Lint 和 FindBugs/QA Plug均不重复，所以有必要同时使用两者作为补充进行代码检测。
