内容摘要：凌晨两点，我在IDE里点开一段三个月前自己写的函数。三百多行，嵌套四层。光标停在某个变量名上，我完全想不起来它为什么叫这个名字。这种事发生过太多次了。代码写完之后，你和它之间就隔了一层雾。时间越久，雾

凌晨两点，代码我在IDE里点开一段三个月前自己写的分析函数。三百多行，代码嵌套四层。分析光标停在某个变量名上，代码我完全想不起来它为什么叫这个名字。分析这种事发生过太多次了。代码代码写完之后，分析你和它之间就隔了一层雾。代码时间越久，分析雾越浓。代码

代码分析工具解决的分析就是这层雾的问题。但它解决的代码方式，跟很多人想的分析不太一样。

静态分析不是代码万能的，但没有它真不行

静态分析工具——比如SonarQube、ESLint、Pylint这些——做的事情说白了就是在不运行代码的前提下，把代码拆开来看。变量有没有被用到、函数复杂度是不是超标、有没有潜在的空指针引用。听起来很基础对吧？但我见过一个团队，CI流程里跑了ESLint，规则只开了默认的那几条。结果上线后一个`undefined`引发的白屏事故，排查了六个小时。后来他们把`no-undef`和`no-unused-vars`加上了，类似问题再没出现过。

问题在于，很多人把静态分析当成一个“配好了就不用管”的东西。规则集半年不更新，扫描报告没人看，告警邮件直接进了垃圾箱。工具是好工具，架不住没人搭理它。

在线分析正在改变什么

以前做代码分析，你得在本地装一堆东西。JDK版本不对、Python环境冲突、依赖装不上——光是配环境就能耗掉半天。现在不少平台把这件事搬到了浏览器里。你粘贴一段代码，选好语言和规则集，几秒钟出结果。

我最近试了几个在线工具，拿一段有内存泄漏风险的Java代码去跑。其中一个平台不仅标出了`InputStream`没关闭的位置，还给出了try-with-resources的改写建议。另一个平台则直接画出了这段代码的调用关系图，哪个方法被谁调用、调用了几次，一目了然。这种可视化对理解遗留代码特别有用。你接手一个陌生项目，看再多的文档也不如一张调用图来得直接。

不过在线工具有个绕不开的问题：代码隐私。把公司核心业务代码粘贴到一个第三方网站，这事想想就不太对劲。所以这类工具目前更适合做学习用途、开源项目分析，或者处理一些脱敏后的代码片段。真要分析完整项目，本地部署的方案还是更靠谱。

动态分析：跑起来才能看到的东西

静态分析看的是代码“长什么样”，动态分析看的是代码“跑起来什么样”。内存泄漏、死锁、性能瓶颈——这些问题静态分析很难发现，必须让代码跑起来，用profiler去盯。

有个案例我印象很深。一个服务在测试环境跑得好好的，上了生产每隔几天就OOM。静态分析查不出任何问题，代码写得很规范。后来用JProfiler挂上去跑了一天，发现是一个缓存对象在特定并发条件下被反复创建，GC回收速度跟不上创建速度。这种问题，你不让它跑起来，永远找不到。

现在一些在线平台也开始提供轻量级的动态分析能力。你上传一段代码，它在沙箱里跑起来，给你返回执行时间、内存占用、函数调用次数。功能比不上本地profiler全面，但胜在快。有时候你只是想确认一个算法的时间复杂度，没必要折腾本地环境。

工具之外的事

代码分析工具能帮你找到问题，但“找到”和“修好”之间还有一段路。我见过扫描报告里列了200个问题，团队修了20个就没人管了。也见过有人把告警当KPI，强行把复杂度从15降到14，代码反而更难读了。

工具给的是线索，不是答案。一段代码该不该重构、那个“未使用变量”是不是故意留的调试后门、这个函数复杂度高是因为逻辑确实复杂还是因为写得太烂——这些判断，工具做不了。

所以我现在用这些工具的方式很简单：定期扫一遍，把问题按严重程度排个序，挑真正影响稳定性和可维护性的先修。剩下的，记下来，等下次改到那块代码的时候顺手处理。不追求一次清零，但求每次改完都比之前好一点。

代码分析在线，说到底就是把原来本地做的事情搬到了云上。方便了，但该花的脑子一点没少花。