피엠디

피엠디(PMD)

피엠디(PMD)

피엠디(PMD)는 자바 프로그램의 소스코드를 분석하여 프로그램의 부적절한 부분을 찾아내고 성능을 높이도록 도와 주는 공개 소프트웨어 점검 도구이다.

개요

피엠디는 자바 프로그램의 소스코드를 분석하여 프로그램의 부적절한 부분을 찾아내고 성능을 높이도록 도와 주는 공개 소프트웨어 점검 도구로, 사용하지 않는 변수, 아무런 처리도 하지 않은 캐치 블록(catch-block), 불필요한 오브젝터 생성 등을 찾아내며, 시스템 개발 공정의 구현 및 테스트 단계에서 정적 분석에 활용할 수 있다.

특징

피엠디는 프로그래머가 실수 혹은 무지각으로 인한 잠재되어 있는 에러 혹은 위험요소를 사전에 탐지하여 사후 생길 위험을 제거해 주는 강력한 소스 코드 분석기라고 할 수 있다. 단독 형태로도 사용할 수 있으며, 이클립스나 인텔리J와 같은 유명 자바 IDE에 플러그인 형태로 배포되어 사용할 수도 있다. 피엠디는ㄴ 작성한 코드에 대한 위반사항을 찾고, 위반 사항을 명시한 리포트 파일(pmd.xml, cpd.xml file)에 대한 수정이 쉽다. 그리고 한 번 클릭으로 수많은 규칙에 대한 수정이 가능하다. 관련 도구로는 이클립스 메트릭스/체크클립스/체크스타일/파인드벅스/자밋/시메인이 있으며, 제작사는 메이븐이다.

점검 기준

PMD는 자바 코드를 점검하여 다음 세 가지 기준에서 위반 여부를 확인한다.

• 표준 코드 기준(compliance with coding standards) : 클래스, 메소드, 파라미터, 변수 이름과 클래스 및 메서드 길이, 주석 및 JAVADocs의 존재 및 서식을 점검한다.
• 코드 안티패턴(coding antipatterns) : 비어 있는 try/catch/finally/switch 블럭, 사용되지 않은 지역 번수, 파라미터, Private 메소드, 비어 있는 if/while 구문, 너무 복잡한 표현-불필요한 if 구문, 무한 루프에 빠질 수 있는 for 루프, 높은 복잡성 지표를 가진 클래스를 확인한다.
• CPD(Cut and Paste Detector) : 의심스러운 코드 복사를 찾는 도구로, CPD는 최소 크기의 코드 블락에 의해 매개변수화될 수 있다.

기본 규칙

• Empty Finalizer : 만약 finalize 메소드가 비어 있다면, 이것은 존재할 필요가 없다는 의미이다.
• Empty Finally Block : 비어 있는 마지막 블락을 피하라는 의미이다.
• Unnecessary Return : 불필요한 return 구문을 피하라는 의미이다.
• Only One Return : 메소드는 오직 하나의 Return을 가져야 한다. 그리고 Return은 메소드의 마지막 구문이어야 한다.
• Cyclomatic Complexity : 복잡성은 메서드내에서 결정 포인트 수와 메서드 엔트리에 대한 결정 포인트 수에 의해 결정되어야 한다. 결정 포인트란 if, while, for, case labels 이다. 일반적으로 1 - 4개면 낮은 복잡성이며 5 - 7개이면 중간 복잡도이며, 8 - 10이면 높은 복잡도에 해당되며 11개 이상이면 아주 높은 복잡도를 가지는 것이다.
• Too Many Fields : 너무 많은 필드(멤버)를 가진 클래스는 더 적은 필드(멤버)를 가진 클래스로 재설계 되어야 한다.
• Long Variable : 너무 긴 이름으로 선언되어진 필드, 지역 변수를 탐지하라는 의미이다.
• No Package : 패키지 정의를 가지지 않은 클래스나 인터페이스를 탐지하라는 의미이다.

PMD에서 제공하는 자바 규칙 집합

• Basic(rulesets/basic.xml)

대부분의 개발자들이 동의하는 규칙: catch 블록들은 비어 있어서는 안되고, equals()를 오버라이딩 할 때마다 hashCode()를 오버라이드한다.

• Naming(rulesets/naming.xml)

표준 자바 네이밍 규약을 위한 테스트: 변수 이름들은 너무 짧아서는 안되고, 메소드 이름은 너무 길어서는 안된다. 클래스 이름은 대문자로 시작해야 하고, 메소드와 필드 이름들은 소문자로 시작해야 한다.

• Unused code(rulesets/unusedcode.xml)

결코 읽히지 않은 프라이빗 필드와 로컬 변수, 접근할 수 없는 문장, 결코 호출되지 않는 프라이빗 메소드 등을 찬는다.

• Design(rulesets/design.xml)

다양한 좋은 디자인 원리 체크, 이를테면 switch 문장은 default 블록을 갖고 있어야 하고, 심하게 중첩된 if 블록은 피해야 하고, 매개변수들은 재할당되어서는 안 되며, 더블(double)이 동일함(equality)과 비교되어서도 안된다.

• Import statements(rulesets/imports.xml)

임포트 문장에 대한 작은 문제들을 점검한다. 같은 클래스를 두 번 반입하는 것이나 java.lang에서 클래스를 임포트하는 것 등이 있다.

• JUnit tests(rulesets/junit.xml)

테스트 케이스와 테스트 메소드 관련 특정 문제를 검색한다. 메소드 이름의 정확한 스펠링과 suite() 메소드가 정적이고 퍼블릭인지 확인한다.

• Strings(rulesets/string.xml)

스트링 관련 작업을 할 때 발생하는 일반적인 문제들을 규명한다. 스트링 리터럴 중복, String 구조체 호출, sTring 객체에 toString() 호출하기 등이 있다.

• Braces(rulesets/braces.xml)

for, if, while, else 문장이 괄호를 사용하는지 여부를 검사한다.

• Code size(rulesets/codesize.xml)

과도하게 긴 메소드, 너무 많은 메소드를 가진 클래스, 리팩토링에 대한 유사한 후보들을 위한 테스트를 한다.

• Javabeans(rulesets/javabeans.xml)

직렬화될 수 없는 bean 클래스 같이 JavaBeans 코딩 규약을 위배하는 JavaBeans 컴포넌트를 검사한다.

• Finalizers

finalize() 메소드는 자바에서 일반적은 아니기 때문에 사용법에 대한 규칙이 비교적 익숙하지 않다. 이 그룹의 검사는 finalize() 메소드 관련한 다양한 문제들을 찾는다. 이를테면, 비어 있는 finalizer, 다른 메소드를 호출하는 finalize() 메소드 finalize()로의 호출 등이 그것이다.

• Clone(rulesets/clone.xml)

clone() 메소드에 대한 규칙: clone()을 오버라이드하는 클래스는 Cloneable을 구현해야 하고, clone() 메소드는 super.clone()을 호출해야 하며, clone() 메소드는 실제로 던지지 않더라도 CloneNotSupportedException을 던지도록 선언되어야 한다.

• Coupling(rulesets/coupling.xml)

클래스들 간 과도한 커플링 표시 검색, 지나치게 많은 임포트, supertype 또는 인터페이스가 충분한 곳에서 subclass 유형 사용하기, 너무 적은 필드, 변수, 클래스 내의 리턴 유형 등을 확인한다.

• Strict exceptions(rulesets/strictexception.xml)

예외 테스트: 메소드는 java.lang.Exception을 던지도록 선언된어서는 안 되고, 예외는 플로우 제어에 사용되어서는 안 되며, Throwable은 잡혀서는 안 된다.

• Controversial(rulesets/controversial.xml)

일부 PMD 규칙들은 유능한 자바 프로그래머가 받아들일 수 있는 것들이다. 하지만 어떤 것은 논쟁의 여지가 충분하다. 이 규칙 세트에는 좀 더 의심스러운 검사들이 포함되어 있다. 변수에 null 할당하기, 메소드에서 온 다중의 리턴 포인트 sun 패키지에서 임포팅 등이 포함된다.

• Logging(rulesets/logging-java.xml)

java.util.logging.Logger를 위험하게 사용하는 경우 검색한다. 끝나지 않고 정적이지 않은 logger와 한 클래스에 한 개 이상의 logger 등을 확인한다.

규칙집합명	규칙 수	설명	예
Android	3	AndroidSDK와 관련된 우수사례(best practice)에 관한 룰	메소드 시작에서 super가 호출되어야 함
Basic	25	누구에게나 적용될 수 있는 모범사례(good practice)에 관한 룰	catchblock이 비어 있는 경우
Braces	4	괄호에 관련된 룰	if 문장은 괄호를 사용해야 함
Clone Implementation	5	clone() 메소드를 의심스럽게 사용하는 경우를 찾는 룰	불필요한 생성자
Code size	13	Code size와 관련된 문제를 찾는 룰	메소드의 길이가 너무 긴 경우
Controversial	21	논란의 소지가 있는 룰	인자도, 바디도 없는 생성자
Comments	4	주석과 관련된 룰	중요 정보를 담은 주석
Coupling	5	객체와 패키지 사이에 강한 또는 적절하지 않는 결합(coupling)이 있는 인스턴스를 찾는 룰	지나치게 많은 임포트
Design	57	의심스러운 설계를 찾는 룰	싱글톤 패턴의 고려(static 메소드들만 있는 클래스)
Empty code	11	비어 있는 구문과 관련된 룰	비어 있는 CatchBlock
Finalizer	6	Finalizer에서 발생할 수 있는 문제를 다루는 룰	Finalize() 메소드가 비어 있는 경우
ImportStatements	6	클래스의 import 문장과 관련된 문제를 다루는 룰	중복된 import 문장
J2EE	9	J2EE에 관한 룰	적절한 클래스 로더 사용하기
Jakarta Commons Logging	4	JakartaCommonLogging 프레임워크의 의심스러운 사용을 찾는 룰	스택트레이스의 모든 내용을 출력하기 위해서는 로깅 문자에서 2개의 인자를 사용해야 함
Javabeans	2	Bean 룰을 따르지 않는 인스턴스를 찾는 룰	클래스가 bean이거나 직/간접적으로 참조되면 직렬화되어야 한다.
Java Logging	4	Logger의 의심스러운 사용을 찾는 룰	메소드 시작에서 super가 호출되어야 함
JUnit	12	JUnit 테스트를 수행하다 발생할 수 있는 문제를 찾는 룰	JUnit 테스트에서 suit() 메소드는 public이고 static이어야 함
Migrating	14	하나의 JDK 버전에서 다른 버전으로 업그레이드할 때 관련된 룰	Vector 대신 ArrayList의 사용
Naming	21	이름이 너무 길거나 짧은지 등 이름에 관련된 룰	필드, 로컬변수, 파라미터 이름이 너무 짧은 경우를 찾음
Optimizations	10	수행 성능을 향상시키는 우수사례를 적용하기 위한 룰	한 번만 할당되는 로컬변수는 final로 선언함
Security Code Guidelines	2	Sun의 보안가이드 라인을 체크하기 위한 룰	메소드가 내부 배열을 반환하면 보안상 문제가 발생할 수 있음
Strict Exceptions	10	예외를 발생시키고 잡기 위한 가이드라인에 관련된 룰	Throwable을 catch하는 것을 피함(너무 다양한 예외)
Strings and StringBuffer	15	String과 StringBuffer를 사용할 때 발생할 수 있는 문제점을 찾는 룰	동일한 문자열은 상수로 선언하는 것이 바람직함
Type Resolution	4	String과 반대되는 자바클래스 파일을 찾기 위한 룰	HashSet과 같은 타입을 사용하지 말 것
Unnecessary	8	불필요한 코드에 대한 규칙 포함여부를 찾는 룰	불필요한 리턴 구문 사용하지 말 것
UnusedCode	5	사용되지 않는 코드를 찾는 룰	로컬변수가 선언되었으니 사용되지 않음

같이 보기

• [[]]

이 문서는 로고 수정이 필요합니다.

이 피엠디 문서는 보안에 관한 글로서 검토가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 검토·수정해 주세요.

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인 보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성 취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커 개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명 양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴 보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD) 위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반