Findbugs: персонализиран детектор

За прости случаи е по-добре да разширите OpcodeStackDetector. Този абстрактен клас поддържа проследяването на стойностите на стека и съхранява информацията за тях. Изобщо не трябва да ви пука за ASTORE, ALOAD и т.н. Просто проверете за INVOKEINTERFACE. Например, ако искате да намерите местата, където последният параметър на метода е върнатата стойност на друг метод, можете да направите следното:

public void sawOpcode(int seen) {
    if(seen == INVOKEINTERFACE && getMethodDescriptorOperand().getSlashedClassName()
        .equals("com/ibm/itim/ws/services/WSSessionService") &&
        getMethodDescriptorOperand().getName().equals("getNumber'))
    Item topStackItem = getStack().getStackItem(0);
    XMethod returnOf = topStackItem.getReturnValueOf();
    if(returnOf != null && returnOf.getName().equals("getParameter"))
        // here we go
    }
}

Можете да промените 0 на друг номер в getStackItem повикване, за да получите и други операнди. За съжаление по този начин можете да знаете, че стойността е връщането на метода getParameter, но не знаете кои аргументи са използвани в този метод.

Ако трябва да проследявате по-сложни ситуации, тогава е по-добре да използвате ValueNumberAnalysis. Това е проста, но мощна концепция: тя просто присвоява едно и също число за стойности, за които статично е доказано, че са еднакви. Да предположим, че искате да проследите всички параметри на заявката. Нека направим някои приготовления за въвеждане на метод (например в visitCode):

private ValueNumberDataflow vna;
private Map<ValueNumber, String> vnToParameterName;

@Override
public void visit(Code code) {
    try {
        this.vna = getClassContext().getValueNumberDataflow(getMethod());
    } catch (DataflowAnalysisException | CFGBuilderException e) {
        bugReporter.logError("Unable to get VNA for "+getMethodDescriptor(), e);
        return;
    }
    this.vnToParameterName = new HashMap<>();
    super.visit(code);
}

Map ще се използва за съхраняване на стойности и имена на съответните параметри. Това може да се направи в sawOpcode:

@Override
public void sawOpcode(int seen) {
    if(seen == INVOKEINTERFACE) {
        if(getNameConstantOperand().equals("getParameter") && 
                getSigConstantOperand().equals("(Ljava/lang/String;)Ljava/lang/String;")
                /* && check the class if necessary */) {
            Object topValue = getStack().getStackItem(0).getConstant();
            if(topValue instanceof String) { // known parameter name like "name"
                // Iterate over locations corresponding to current PC 
                // (usually only one such location exists)
                for(Location location : vna.getCFG()
                        .getLocationsContainingInstructionWithOffset(getPC())) {
                    try {
                        // This frame contains value numbers 
                        // right after the INVOKEINTERFACE execution
                        ValueNumberFrame frame = vna.getFactAfterLocation(location);
                        // ValueNumber corresponding to the top stack value: 
                        // the return value of getParameters() method 
                        ValueNumber vn = frame.getTopValue();
                        vnToParameterName.put(vn, (String) topValue);
                    } catch (DataflowAnalysisException e) {
                        return;
                    }
                }
            }
        }
    }
}

Така че сега можете да използвате тази карта. Добавете още код към sawOpcode:

if(seen == INVOKEINTERFACE && getMethodDescriptorOperand().getSlashedClassName()
        .equals("com/ibm/itim/ws/services/WSSessionService") &&
        getMethodDescriptorOperand().getName().equals("getNumber"))
    for(Location location : vna.getCFG()
            .getLocationsContainingInstructionWithOffset(getPC())) {
        try {
            // This frame contains value numbers 
            // right before the INVOKEINTERFACE execution
            ValueNumberFrame frame = vna.getFactAtLocation(location);
            // ValueNumber corresponding to the top stack value: 
            // the last parameter for getNumber method
            ValueNumber vn = frame.getStackValue(0);
            String parameterName = vnToParameterName.get(vn);
            if(parameterName != null) {
                // hurrah: this parameter is in fact 
                // the return value of getParameter(parameterName)
            }
        } catch (DataflowAnalysisException e) {
            return;
        }
    }

Не съм тествал този код, така че са възможни някои дребни проблеми. Имайте предвид, че ValueNumberAnalysis е доста мощно нещо. Той е способен не само да проследява ASTORE/ALOAD, но и произволен брой повторни записвания на тази стойност в друга променлива и дори (с някои ограничения) да съхранява в полето с последващо зареждане. Разбира се, ще работи и ако изобщо не използвате локални променливи (като getNumber(request.getParameter("name"))).