SpotBugs

Définition

SpotBugs est un outil d'analyse statique de bytecode Java open source, successeur direct de FindBugs (arrêté en 2016). Il analyse le bytecode compilé (fichiers .class) plutôt que le code source Java, permettant une analyse rapide et indépendante de l'IDE. SpotBugs détecte non seulement des bugs de performance et de fiabilité mais aussi des problèmes de sécurité, notamment quand il est utilisé avec le plugin FindSecBugs (maintenant maintenu sous le nom SpotBugs Security Plugin). L'analyse de bytecode de SpotBugs a un avantage technique : elle peut détecter des problèmes dans le code compilé qui auraient pu être introduits non pas par le code source de l'application mais par des processus de compilation ou d'obfuscation. Elle permet aussi d'analyser des projets pour lesquels le code source n'est pas disponible (JARs tiers non open source). SpotBugs s'intègre dans les projets Maven (plugin spotbugs-maven-plugin), Gradle (plugin gradle-spotbugs), Ant, et les principaux IDEs (plugins Eclipse, IntelliJ IDEA). La configuration se fait via un fichier XML listant les détecteurs actifs et les exclusions. SpotBugs est souvent intégré dans les pipelines Maven CI en tant que phase de vérification : mvn spotbugs:check échoue le build si des bugs de sévérité configurée sont trouvés. Le plugin FindSecBugs (Find Security Bugs) étend SpotBugs avec plus de 130 détecteurs de vulnérabilités de sécurité Java : Command Injection (Runtime.exec avec interpolation), SQL Injection (PreparedStatement non utilisé), XSS dans les Servlets, Path Traversal, XML External Entity (XXE), desérialization non sécurisée, cryptographie faible (DES, MD5, SHA1 pour les mots de passe), générateurs de nombres aléatoires non cryptographiques, et vulnérabilités spécifiques aux frameworks Spring et Struts. SpotBugs est particulièrement utile dans les projets Java enterprise de grande envergure avec des bases de code historiques, où il peut identifier des patterns de vulnérabilités systémiques.