开源软件静态分析报告2008（摘要）

本报告由SCAN项目发布，原文在http://scan.coverity.com。

SCAN项目由Coverity公司负责实施，由DHS（U.S. Department of Homeland Security，美国国土安全部）资助。本报告中的分析数据均来自于Coverity Prevent(静态分析工具)对超过250个的开源软件，如Firefox、Linux、Perl、Python以及PHP等，总共超过55M 代码行静态分析得出。

报告的研究结果摘要：

• 开源软件总体的质量和安全正在提高：研究发现，在过去的两年中，静态分析得到的缺陷密度有16%的减少。
• 个别缺陷类型的流行：在这些开源项目中，常见的和罕见的缺陷类型有着明确的区别。以下是各种缺陷的分布比例：

    具体某种类型代表什么类型的错误，请参考本站之前的关于C/C++错误的文章。

• 代码规模和静态分析缺陷数量：研究发现，这两项之间有着高度、线性的关系。
• 函数长度和静态分析缺陷密度：研究发现，静态分析缺陷密度和函数长度在统计上相关性不大。
• 圈复杂度和Halstead effort：研究发现这两个代码复杂度的度量和代码规模 高度相关
• 误报率：截至到今天，SCAN项目平均的误报率低于14%(13.32%).