Apa itu analisis kode statis?

Yang juga dikenal sebagai analisis kode sumber, analisis kode statis mengidentifikasi kesalahan logis dan kebocoran memori sebelum aplikasi dijalankan, sehingga mengurangi waktu debugging. Hal ini secara otomatis memeriksa kesalahan sintaksis dan kerentanan keamanan tersembunyi yang mungkin terlewatkan oleh manusia. Standar pengodean diterapkan untuk membantu memastikan kepatuhan terhadap peraturan di seluruh tim besar serta secara umum mempercepat proses pengembangan secara keseluruhan.

Analisis kode statis, berbeda dengan analisis kode dinamis, dilakukan sebelum kode dijalankan. Analisis dinamis melibatkan menjalankan aplikasi dan mengamati perilakunya. Sebaliknya, analisis statis memperlakukan kode sumber sebagai kumpulan data struktural, yang dipindai untuk mengidentifikasi masalah sebelum aplikasi dikompilasi, dikemas, atau diterapkan. Pendekatan ini memodelkan bagaimana program tersebut akan berperilaku berdasarkan strukturnya. Kedua teknik tersebut penting bagi praktik jaminan kualitas secara keseluruhan dalam kerangka kerja devops atau devsecops.

Ada tiga tahap utama dalam analisis kode statis.

Alat analisis tersebut membaca kode sumber dan memecahnya menjadi token-token. Elemen ini dimasukkan ke dalam sebuah parser yang mengevaluasinya berdasarkan aturan tata bahasa bahasa pemrograman tertentu dan menyusunnya kembali menjadi pohon sintaksis abstrak (AST) yang hierarkis. AST memetakan struktur perangkat lunak dalam format yang dapat dibaca mesin.

Alat analisis ini membangun grafik alur kontrol (CFG) untuk memetakan jalur eksekusi, yang dipadukan dengan analisis aliran data untuk melacak bagaimana nilai variabel berubah mulai dari inisialisasi hingga penggunaannya. Ini adalah tahap di mana alat analisis mungkin menemukan kesalahan seperti kode mati (kode yang tidak akan pernah dieksekusi).

Dengan menggunakan AST dan model alur, alat ini memeriksa kode tersebut berdasarkan pedoman penulisan kode dan heuristik. Hal ini mencakup berbagai hal, mulai dari konvensi penamaan yang sederhana hingga pemeriksaan keamanan yang lebih canggih seperti analisis taint, yang melacak masukan pengguna yang terkontaminasi yang berpotensi menyebabkan SQL injection.

Pada masa-masa awal perkembangan komputasi, eksekusi kode memakan banyak sumber daya, dan para pengembang tidak bisa membiarkan sumber daya komputasi terbuang percuma untuk proses debugging. Verifikasi sepenuhnya dilakukan oleh tenaga manusia, dengan proses peninjauan kode yang lambat dan dilakukan secara manual.

Penciptaan Lint pada tahun 1978 oleh Stephen C. Johnson di Bell Labs menandai dimulainya era analisis kode statis modern. Lint dikembangkan untuk sistem operasi Unix dan dirancang untuk memindai kode sumber serta menandai konstruksi yang mencurigakan sebelum proses kompilasi.

Lint berhasil mengidentifikasi kode yang bermasalah untuk dihapus tanpa mengubah logika program, sehingga menghemat sumber daya komputasi yang berharga. Lint berhasil mengidentifikasi kode yang bermasalah untuk dihapus tanpa mengubah logika program, sehingga menghemat sumber daya komputasi yang berharga.

Seiring dengan berkembangnya internet sepanjang tahun 1990-an dan 2000-an, kebutuhan untuk mengatasi celah keamanan pun semakin meningkat. Alat-alat baru pun muncul untuk memenuhi permintaan ini, begitu pula dengan bentuk-bentuk analisis yang lebih kompleks yang merangkum kode menjadi model matematis guna melacak pergerakan variabel-variabel tersebut. Kerangka kerja baru seperti pengujian keamanan aplikasi statis (SAST) muncul untuk menangkal ancaman-ancaman ini, sementara metode seperti pengujian keamanan aplikasi dinamis (DAST) memungkinkan evaluasi saat waktu proses.

Meskipun secara matematis akurat, teknik-teknik ini memiliki tingkat positif palsu yang tinggi karena keterbatasan kemampuannya dalam memahami konteks. Munculnya machine learning dan model bahasa berskala besar (LLM) pada tahun 2020-an memicu era baru dalam analisis kode, di mana model-model tersebut dapat dilatih menggunakan miliaran baris kode. Pelatihan ini membekali mereka dengan kemampuan untuk memahami maksud pengembang dan konteks semantik.

Secara tradisional, analisis kode statis merupakan proses penyaringan yang dijalankan sebelum peluncuran, namun saat ini, analisis ini dilakukan sepanjang siklus hidup pengembangan perangkat lunak (SDLC). Filosofi “shift-left” ini melibatkan pemindahan proses pengujian “ke arah kiri,” lebih dekat ke tahap pembuatan kode.

Saat ini, alat analisis kode seperti SonarQube, ESLint, dan GitHub Advanced Security telah menjadi bagian tak terpisahkan dari alur kerja para pengembang. Program-program tersebut berjalan di dalam lingkungan pengembangan terpadu (IDE) untuk menandai kesalahan secara real-time saat pengembang sedang mengetik. Fitur-fitur tersebut juga berfungsi sebagai titik pemeriksaan otomatis dalam integrasi berkelanjutan dan penerapan berkelanjutan, atau jalur CI/CD.

Asisten pengodean modern yang didukung oleh machine learning telah memungkinkan analisis kode terdesentralisasi yang cepat dan sebagian besar tidak terlihat, memungkinkan pengembang untuk menangkap kesalahan lebih awal dan meningkatkan kualitas kode secara real time. IBM Bob, misalnya, memiliki alur kerja “Review” yang berjalan di panel terpisah dan secara otomatis mendeteksi code smells serta menandai pelanggaran standar penulisan kode, yang kemudian dapat diabaikan oleh pengguna atau diselesaikan secara otomatis oleh Bob.

Analisis juga dapat dilakukan secara proaktif melalui dorongan strategis. Misalnya, alih-alih meminta asisten pemrograman untuk “mencari bug,” seorang pengembang dapat memintanya untuk meninjau repositori dengan tujuan tertentu. Untuk tinjauan arsitektur, kita dapat meminta sistem tersebut untuk meninjau pengaturan direktori, titik masuk, hubungan antar komponen, dan tumpukan teknologi secara keseluruhan—semua hal tersebut akan menghasilkan dokumentasi terperinci. Analisis cepat terhadap desain database dapat mengidentifikasi tujuan modernisasi. Prompt khusus dapat mengevaluasi desain database, analisis migrasi, serta melakukan tinjauan menyeluruh terhadap utang teknis, disertai rekomendasi mengenai cara paling strategis untuk mengatasi masalah-masalah tersebut.