SonarQube/SonarScanner能否检测内存泄漏？求测试代码示例

背景 #

我在工作中使用SonarQube（v8.9）搭配SonarScanner（v4.2），编写了JavaScript和Python两个内存泄漏代码片段，但均未被SonarScanner检测到。

JavaScript代码片段 #

beforeMount () {
  Window.test = {
    name: 'home',
    node: document.getElementById('home')
  }
}

Python代码片段 #

import requests
import gc
 
def call():
  response = requests.get('https://google.com')
  print("Status code", response.status_code)
  return
 
def main():
  print("No.of tracked objects before calling get method")
  print(len( gc.get_objects() ) )
  call()
 
  print("No.of tracked objects after calling get method")
  print(len( gc.get_objects() ) )
 
if __name__ == "__main__":
  main()

疑问解答 #

1. SonarQube/SonarScanner能否检测内存泄漏？ #

SonarQube（包括v8.9版本）对内存泄漏的检测能力有限且场景特定：

• 对于JavaScript，它仅能识别部分常见泄漏模式，比如未清理的定时器、未解绑的事件监听器，像你代码中把DOM节点挂载到全局对象的情况，若未被内置规则覆盖，就无法检测到。
• 对于Python，SonarQube的规则集几乎不针对内存泄漏，它更侧重代码质量、安全问题，而非运行时内存管理问题。

2. 静态代码分析工具能否检测内存泄漏？ #

静态代码分析工具仅能检测部分有固定代码特征的内存泄漏，无法覆盖所有场景：

• 这类工具靠模式匹配识别已知泄漏场景，比如JavaScript中未移除的setInterval、Python中全局变量持续累积大对象。
• 你提供的案例未被Bandit和Semgrep检测到的原因：
  • JS代码的全局DOM引用不在工具内置规则的覆盖范围内；
  • Python代码中response对象在函数结束后会被GC回收，不属于静态分析能识别的典型泄漏模式——静态工具无法判断运行时的GC行为。

3. 可用于测试的内存泄漏代码示例 #

JavaScript（可被部分静态工具检测）

// 未清理的定时器：组件卸载后定时器仍运行，持有组件引用
export default {
  mounted() {
    this.timer = setInterval(() => {
      console.log(this.someData);
    }, 1000);
  },
  // 未实现beforeUnmount清理定时器
};

// 未解绑的事件监听器：全局事件监听未移除，持有组件实例
export default {
  mounted() {
    window.addEventListener('resize', this.handleResize);
  },
  // 未移除事件监听
  methods: {
    handleResize() {
      console.log('resize');
    }
  }
};

Python（易触发内存泄漏，适合动态测试）

# 全局变量持续累积对象，无法被GC回收
leak_list = []

def add_data():
    large_data = [i for i in range(1000000)]
    leak_list.append(large_data)

# 循环引用（Python GC虽能处理，但特殊场景下可能泄漏资源）
class Node:
    def __init__(self):
        self.next = None

def create_cycle():
    node1 = Node()
    node2 = Node()
    node1.next = node2
    node2.next = node1
    return

# 未关闭的文件连接：频繁调用会占用文件描述符和内存
def leak_resource():
    f = open('large_file.txt', 'r')
    data = f.read(1000)
    # 未执行f.close()

内容的提问来源于stack exchange，提问作者KeeperOfTheSevenKeys