介绍与第一印象
访问FindBugs在SourceForge上的网站时，我首先注意到的是其朴素、学术化的设计。页面本质上是一系列链接的集合——文档、下载以及开发板块。没有花哨的营销，也没有定价页面，因为FindBugs完全免费，遵循GNU宽通用公共许可证发布。该项目由马里兰大学主导，且其名称已注册商标。这种开源背景立刻传递出信任感，但其最新版本（3.0.1）发布于2015年3月，距今已久。对于Java开发这个快速发展的领域而言，这是一个重要的危险信号。
作为一名科技记者，多年来我测试过几十种静态分析工具。FindBugs的下载页面提供了命令行界面、图形界面和一个Ant任务。我下载了图形界面版本以感受其工作流程。界面简陋但功能齐全：你只需指向编译好的Java类文件或JAR文件，选择要启用的Bug检测器，然后让它运行。结果会以层次树形结构呈现，按Bug类型和严重程度分类。
FindBugs的工作原理与核心功能
FindBugs执行字节码分析——它不需要源代码。它会扫描Java类文件，查找超过400种Bug模式，范围从潜在的空指针解引用到不正确的浮点数比较。这使其成为真正意义上的“静态分析”工具：它在不执行代码的情况下检查代码。该工具不使用机器学习；它依赖于专家多年来编写的一组确定性规则。鉴于该工具属于“文本AI > AI编程”类别，我发现这种分类具有误导性——FindBugs并非AI，而是一个专家系统。尽管如此，为了本评测的目的，我将把它作为一个自动化代码审查助手进行评估。
3.0.1版本增加了几个新的Bug模式，例如DM_BOXED_PRIMITIVE_FOR_COMPARE和NP_OPTIONAL_RETURN_NULL。这些模式被编码为助记码（例如，NP代表空指针），这一事实显示了该工具的时代性和内部导向性。现代工具已转向更具可读性的描述。FindBugs还支持通过XML配置进行过滤，并且可以集成到Maven、Eclipse和Jenkins等构建工具中。甚至还有一个团队云功能，允许团队共享问题审查——这对于2015年来说是一个出乎意料的超前概念。
在我对一个小型Java项目（编译为Java 8）进行的测试中，FindBugs标记了一些真正的问题：一个可能是如果方法返回null可能导致的空指针，以及一个冗余的空检查。它还产生了一些误报，特别是关于装箱和拆箱的问题。响应时间是可接受的——处理50个类只需几秒钟。
优势与局限
FindBugs拥有不可否认的优势：它是免费的、开源的、经过大规模实战测试（谷歌在2009年的一次修复活动中使用了它，涉及700多名工程师），并且其Bug模式在提供的手册中有详尽的文档记录。Eclipse插件仍可从旧更新站点下载（尽管可能无法与最新的Eclipse版本兼容）。对于任何维护遗留Java 8代码库的用户来说，FindBugs仍然是一个可靠的零成本选择。
然而，其局限也很严重。FindBugs本质上已被遗弃。 最新版本发布至今已超过九年。它不支持Java 9模块、records或密封类等新的语言特性，也不支持现代的构建工具链。用户界面感觉笨拙；例如，图形界面除了行号之外，不提供内联代码导航。最关键的是，社区已经向前发展：其实际的继任者SpotBugs是该项目的一个分支，在相同的许可证下继续进行活跃开发。SpotBugs增加了对最高Java 17版本的支持，并包含新的检测器。如果你今天开始一个新项目，我强烈推荐使用SpotBugs或其商业变体FindSecBugs，后者专注于安全分析。
谁应该使用FindBugs——以及谁不应该使用
FindBugs最适合那些维护遗留Java 8应用程序、需要一个快速免费静态分析工具且无需安装额外基础设施的开发人员。它也可以作为了解经典Java Bug模式的学习资源——手册中详细的Bug描述实际上相当不错。然而，我不推荐将其用于新开发，也不推荐用于使用Java 9或更高版本的团队。对于这些情况，请考虑使用SpotBugs（直接继承分支）或商业替代方案，例如集成了Java分析器并提供持续检查和现代化Web界面的SonarQube。即使在免费工具中，PMD和Checkstyle的维护也更活跃，覆盖范围也更广。
总而言之，FindBugs具有重要的历史意义，但在实践中已经过时。其核心检测引擎对于较旧的Java代码仍然可用，但缺乏更新以及笨拙的界面使其成为现代工作流程的糟糕选择。如果你绝对需要一个用于Java 8项目的免费静态分析器，且无法升级依赖项，那么它是可以用的。否则，花几个小时迁移到SpotBugs将会避免日后的很多麻烦。请访问 https://findbugs.sourceforge.net 自行探索FindBugs。
评论