Discussion :

[EvilAngel]

Salut à tous,

Dans le cadre d'une mission de qualité, on m'a demandé d'auditer le code source d'une application.

Ceci dit, je n'ai jamais fait d'audit de code source.

Existe-t-il des méthodologies, des bonnes pratiques, des guides sur la façon de mener l'analyse d'un code source ?

Merci

[souviron34]

oui

ne pas penser qu'on peut faire l'audit d'un code sans :

1. être expert du langage utilisé
2. connaître et comprendre l'architecture haut niveau
3. avoir une bonne connaissance du domaine d'application
4. avoir une bonne connaissance des contraintes demandées au départ
5. avoir une bonne connaissance des contraintes deandées maintenant

[slevy]

Un outils qui peut t'aider c'est PMD sur sourceforge :
http://pmd.sourceforge.net/

Il s'intègre à la plupart des IDE.

[EvilAngel]

Merci pour l'outil.
Effectivement il est réputé.

Ceci dit, n'ayant jamais fait d'audit de code, je chercher une méthodologie, une démarche à suivre avant de me lancer dans le code.

L'étude séquentielle de toutes les lignes unes à unes ne me paraît pas la bonne solution.

Les conseils de souviron34 sont intéressants.

J'ai trouvé OWASP qui propose une méthode d'analyse de code source.

[Laurent Tardif]

La premiere question avant de chercher la methodologie ou l'outils, est :
'Que veux tu auditer' ?
La qualité du code ?
La testabilite du code ?
La securite du code ?
La scalabilité du code ?
La maintenabilité du code ?
La documentation du code ?
Les outils type PMD/checkstyle/Coverity/phpSniffer/cobertura... te donneront des idees sur des points precis. Apres faut un outils de type dashboard pour avoir une vue globale.
PMD peut te mettre en avant des pbs de codage ou de non respect de 'regles' de base. Par contre, si ton code est un sac de nouilles (class coupling) sans documentations (javancss) il ne te dira rien. D'ou l'interet de savoir ce qu'on cherche :-)

[Trankille]

Bonjour,
je remonte ce topic car je vais peut être devoir faire un audit de code source, notamment sur du C.
J'aimerais savoir s'il existe des méthodes pour réaliser un audit au mieux.

mélanger analyse statique + analyse manuelle ?

si vous connaissez des bouquins, doc, méthodes, je suis preneur.
En vous remerciant