ReachCheck：集成开发环境（IDEs）中具备组件库感知能力的调用图可达性分析工具

《ACM Transactions on Software Engineering and Methodology》：ReachCheck: Compositional Library-Aware Call Graph Reachability Analysis in the IDEs

第三方库在线分析性能优化

　　

摘要

调用图可达性分析对于漏洞检测、依赖冲突分析和兼容性检查至关重要。然而，现代软件系统，尤其是那些在集成开发环境（IDE）中开发的系统，通常依赖于第三方库（TPLs），这大大增加了分析成本。本文介绍了一种名为ReachCheck的分析工具，该工具能够在IDE中针对方法对的可达性进行组件化分析，并能够识别这些第三方库的依赖关系。具体而言，ReachCheck通过离线传递闭包来总结TPL的可达性，并根据需要将这些总结结果与应用程序代码集成在一起，从而避免了重复分析。此外，我们使用矩阵表示法来表示调用图，并采用快速矩阵乘法算法进行传递闭包的计算，进一步提高了分析效率。我们已经将这种方法实现为一个原型，并在真实项目中进行了评估。与在线遍历方法、函数摘要方法以及三种先进的图可达性分析方法（Ferrari、BL和BFL）相比，ReachCheck分别实现了237.75倍、78.55倍、84.86倍、4369.09倍和80.91倍的加速效果。对于依赖冲突检测和CVE风险检测等下游应用来说，ReachCheck的分析时间分别为0.61秒和0.35秒，比现有技术快出了537.59倍和519.03倍。