SpotBugs 是什么
SpotBugs 是 FindBugs 的后继项目，在字节码层面检测潜在缺陷：暴露内部可变引用、可能存在空指针的路径、序列化相关问题，以及相等性方法不一致这类源码检查覆盖不到的模式。它按缺陷模式编号给出结果，并支持设定阈值让构建失败。
基本信息
| 定位 | 字节码层面的缺陷检测，FindBugs 的后继 |
|---|---|
| 典型模式 | 暴露内部可变引用、可能的空指针、序列化问题 |
| 集成方式 | Maven 或 Gradle 插件，支持按阈值失败 |
| 输出 | 按缺陷模式分组，附带具体位置 |
典型使用场景
- 新项目接入：先按默认阈值跑，再决定是否收紧
- 存量项目：按模块分批处理历史告警
- 发布前检查：作为构建流水线中的一道门禁
- 排查可疑空指针：路径分析直接标出可疑位置
- 与源码级检查配合：一个看规范，一个看字节码
接入时怎么排优先级
- 先修空指针与资源泄漏类模式
- 再看并发与相等性不一致类模式
- 风格类模式按项目规范决定
- 确认误报的加过滤规则并写明理由
门禁用法
门禁用法
mvn spotbugs:check # 按阈值让构建失败
mvn spotbugs:gui # 本地图形化查看结果
# Gradle：./gradlew spotbugsMain典型模式与含义
| 模式 | 问题 |
|---|---|
| 暴露内部可变引用 | getter 直接返回内部集合或数组 |
| 可能的空指针 | 某条执行路径上存在空值调用 |
| 序列化问题 | 不可序列化的字段出现在可序列化类里 |
| 相等性方法不一致 | equals 与 hashCode 行为不匹配，集合类会异常 |
在评审中怎么用
- 把新增的缺陷模式作为本次评审的关注点
- 先处理正确性类模式，风格类可以稍后
- 过滤规则的改动要写清理由
- 存量告警按模块分批纳入治理台账
字节码分析能发现源码检查覆盖不到的模式：相等性方法不一致、序列化字段类型不对都属于这一类。
字节码分析的收益在于增量：新增代码保持干净，存量按模块慢慢收敛，比一次性全清更现实。
在评审中的用法：把构建结果里的新增告警作为关注点，存量告警按模块分批清理，不必一次全清。
阈值调得太松：扫描永远通过，门禁形同摆设。