摘要：在大型软件项目开发过程中，为了保证软件质量，除了对软件功能进行测试，同时也会引入源代码静态检查工具对源代码进行扫描，及时发现代码中的缺陷。Klockwork工具是Klockwork公司基于专利技术分析引擎开发的一款出色的静态分析软件。本文针对大型软件项目代码静态检查的发展趋势，从多人并行开发代码的流程出发，通过对比Klockwork提交即检查的方法，提出一种查询全量缺陷并对代码提交执行拦截的部署方法。希望能为软件项目开发的代码缺陷治理提供一种参考。本文首先在前言部分指出了当前软件项目在开发效率上的痛点，并提出快速治理的方法 。然后介绍了多人并行开发的代码提交流程，并详细介紹了Klockwork工具的部署方法和使用效果。最后总结Klockwork工具部署的意义。

关键词：VerifyCI  Klockwork 代码安全

1 前言

在软件开发过程中，由其是多人同时开发时，由于每个人的编码习惯、能力大小、知识水平都有很大的不同，要想写出没有代码缺陷的软件几乎是不可能的。如果有些代码缺陷不能及时被发现，如空指针访问、数组越界、内存泄漏或溢出等，很可能会对软件的可靠性、稳定性造成很大的影响。Klockwork工具可以通过跟踪代码编译过程，分析出绝大部分的此类代码缺陷。不过对于大型软件项目，Klockwork工具对代码完成一次全量检查，将耗费大量的时间，根据Klockwork工具检查结果进行分析，从而对代码进行修改，修改后又要进行Klockwork工具的检查，这样的反复操作将使软件开发效率及其低下。……