原po:https://blog.csdn.net/zhangb00/article/details/8407070
SpotBugs 介绍
SpotBugs是Findbugs的继任者（Findbugs已经于2016年后不再维护，see https://mailman.cs.umd.edu/pipermail/findbugs-discuss/2016-November/004321.html），用于对代码进行静态分析，查找相关的漏洞。
目前SpotBugs 3.1.3 自带检测器，其中有90余种Bad practice，155余种Correctness，9种Experimental， 2种 Internationalization，17种Malicious code vulnerability，46种Multithreaded correctness,4种 Bogus random noise，37种Performance，11种 Security,87种Dodgy。
Bad practice 不佳实践：常见代码错误，用于静态代码检查时进行缺陷模式匹配(如重写equals但没重写hashCode，或相反情况等)
Correctness 可能导致错误的代码(如空指针引用、无限循环等)
Experimental 实验性
Internationalization 国际化相关问题（如错误的字符串转换等）
Malicious code vulnerability 可能受到的恶意攻击（如访问权限修饰符的定义等）
Multithreaded correctness 多线程的正确性（如多线程编程时常见的同步，线程调度问题等）
BogusMultithreaded correctness 多线程的正确性（如多线程编程时常见的同步，线程调度问题等）
Performance 运行时性能问题（如由变量定义，方法调用导致的代码低效问题等）
Security 安全问题（如HTTP，SQL，DB等）
Dodgy code 导致自身错误的代码（如未确认的强制转换、冗余的空值检查等）
注： SpotBugs 需要当前的JDK环境为 1.8以上，但可以对1.0~1.9的代码来进行检查。
SpotBugs 插件
SpotBugs 还有对应的额外插件，用于扩展对应的规则，探测出更多的代码问题。
fb-contrib
目前最新为7.4.3，增加了大致130+条规则；其中因 FindBugs分叉，SpotBugs需要使用-sb版本。
官网 : https://github.com/mebigfatguy/fb-contrib
find-sec-bugs
目前最新为 1.8.0，针对安全（Security）增加了大致70+条规则
官网: https://github.com/find-sec-bugs/find-sec-bugs
SpotBugs 使用
Maven
maven 插件方式使用 spotbugs及相关插件
<plugin> <groupId>com.github.spotbugs</groupId> <artifactId>spotbugs-maven-plugin</artifactId> <version>3.1.1</version> <configuration> <plugins> <plugin> <groupId>com.h3xstream.findsecbugs</groupId> <artifactId>findsecbugs-plugin</artifactId> <version>LATEST</version> </plugin> <plugin> <groupId>com.mebigfatguy.fb-contrib</groupId> <artifactId>fb-contrib</artifactId> <version>7.4.3.sb</version> </plugin> </plugins> </configuration> </plugin>
IDE环境
Eclipse
请在对应的marketplace 搜索或install new software来进行spotbugs的安装，正式版本的安装路径 https://spotbugs.github.io/eclipse/
安装插件后，可以在对应的Preferences 进行更多SpotBugs plugin安装，参考如下图：
可以通过以下网址获取最新的插件jar
https://mvnrepository.com/artifact/com.mebigfatguy.fb-contrib/fb-contrib
https://mvnrepository.com/artifact/com.h3xstream.findsecbugs/findsecbugs-plugin
完成安装后，可以对java工程或者对应的类，右键进行 SpotBugs ->Find Bugs
JetBrain IDEA
目前没有SpotBugs插件，原FindBugs插件作者、IDEA还在讨论商标问题，请先使用 原有FindBugs代替。
https://github.com/andrepdo/findbugs-idea/issues/265
https://youtrack.jetbrains.com/issue/IDEA-201846
其他
其他更多内容可以参考SpotBugs 官方文档
https://spotbugs.readthedocs.io/en/latest/installing.html
---------------------
作者：zhangb00
来源：CSDN
原文：https://blog.csdn.net/zhangb00/article/details/84070706
版权声明：本文为博主原创文章，转载请附上博文链接！