使用静态代码分析提高 C# 代码质量
内容提要
静态代码分析是一种无需实际运行代码即可检查代码质量的方法，可以帮助我们在开发过程的早期发现并修复问题，构建更可靠、可扩展且更易于维护的系统。在.NET中，我们可以使用内置的Roslyn分析器和SonarAnalyzer.CSharp进行静态代码分析，帮助查找和修复安全风险。静态代码分析与其他技术相结合，可以创建一个能够持续提供高质量软件的强大开发流程。
延伸解读
配置集中化：Directory.Build.props 的作用
文章指出，配置静态代码分析的最佳方法是使用 Directory.Build.props 文件。该文件位于根文件夹，可统一应用于所有项目，避免在每个项目中重复设置。通过它，可以集中配置 AnalysisLevel、AnalysisMode、TreatWarningsAsErrors 等属性，确保团队遵循一致的代码质量标准。这种集中化管理简化了维护，尤其适合多项目解决方案。
平衡严格性与开发效率
启用 TreatWarningsAsErrors 后，任何警告都会导致构建失败，这能强制解决问题，但也可能因过多警告而影响开发效率。文章建议，对于无用的规则，可以在 .editorconfig 中关闭，例如通过 dotnet_diagnostic.S125.severity = none 禁用特定规则。这体现了在严格代码质量与开发体验之间寻求平衡的实践思路。
安全漏洞检测实例：密码哈希迭代次数
文章以密码哈希为例，说明静态代码分析能发现安全风险。SonarAnalyzer.CSharp 的 S5344 规则会检测到仅使用 10,000 次迭代生成密码哈希的问题，并建议最少 100,000 次。启用 TreatWarningsAsErrors 后，构建将失败，直到修复。这展示了静态分析在预防安全漏洞方面的实际作用，帮助团队避免将风险引入生产环境。
Q&A
什么是静态代码分析，它有什么好处？
静态代码分析是一种无需运行代码即可检查代码质量的方法，能够在开发早期发现并修复问题，降低解决问题的成本。
如何在.NET中进行静态代码分析？
在.NET中，可以使用内置的Roslyn分析器和SonarAnalyzer.CSharp进行静态代码分析，默认情况下.NET 5及以上版本启用代码分析。
如何配置静态代码分析以提高代码质量？
可以使用Directory.Build.props文件配置静态代码分析，包括设置TreatWarningsAsErrors等属性，以确保警告被视为错误。
静态代码分析如何帮助发现安全风险？
静态代码分析可以检测代码中的潜在安全漏洞，例如通过规则S5344检测密码哈希的迭代次数不足，降低生产中引入安全风险的可能性。
SonarAnalyzer.CSharp有什么特别之处？
SonarAnalyzer.CSharp提供额外的代码分析器，帮助编写干净、安全和可靠的代码，来自构建SonarQube的同一家公司。
静态代码分析如何与其他开发实践结合使用？
静态代码分析可以与代码审查、单元测试和持续集成等技术结合，创建一个持续提供高质量软件的开发流程。
