[논문 리뷰] Static Code Analysis of Multilanguage Software Systems

Anas Shatnawi, Hafedh Mili외 6명|arXiv (Cornell University)|2019. 06. 03.

Software Engineering Research참고 문헌 20인용 수 4

한 줄 요약

이 논문은 다국어 Java EE 애플리케이션을 대상으로 한 정적 코드 분석 기법을 제안하며, 종속성 탐지 과정에서 발생하는 다섯 가지 핵심 과제—다국어 종속성, 숨겨진 컨테이너 서비스, 구성 파일 분석—을 다룹니다. KDM 메타모델을 활용하고 MoDisco에 커스터마이징된 규칙를 적용함으로써 저자들은 DeJEE라는 도구를 구현하였으며, 이 도구는 Java, JSP, JSF 컴포넌트 간 종속성을 식별할 때 MoDisco 대비 최대 70.5% 높은 재현율과 100% 정밀도를 달성합니다.

ABSTRACT

Identifying dependency call graphs of multilanguage software systems using static code analysis is challenging. The different languages used in developing today's systems often have different lexical, syntactical, and semantic rules that make thorough analysis difficult. Also, they offer different modularization and dependency mechanisms, both within and between components. Finally, they promote and--or require varieties of frameworks offering different sets of services, which introduce hidden dependencies, invisible with current static code analysis approaches. In this paper, we identify five important challenges that static code analysis must overcome with multilanguage systems and we propose requirements to handle them. Then, we present solutions of these requirements to handle JEE applications, which combine server-side Java source code with a number of client-side Web dialects (e.g., JSP, JSF) while relying on frameworks (e.g., Web and EJB containers) that create hidden dependencies. Finally, we evaluate our implementations of the solutions by developing a set of tools to analyze JEE applications to build a dependency call graph and by applying these tools on two sample JEE applications. Our evaluation shows that our tools can solve the identified challenges and improve the recall in the identification of multilanguage dependencies compared to standard JEE static code analysis and, thus, indirectly that the proposed requirements are useful to build multilanguage static code analysis.

연구 동기 및 목표

• 다국어 소프트웨어 시스템, 특히 Java EE 애플리케이션에서 정적 코드 분석을 수행할 때 발생하는 다섯 가지 주요 과제를 식별하고 해결하는 것.
• 기존의 단일 언어 및 고립된 언어 분석 도구들이 다국어 종속성과 컨테이너 서비스 종속성을 놓치는 한계를 극복하는 것.
• 언어에 종속되지 않는 메타모델을 사용하여 이질적인 컴포넌트(Java, JSP, JSF) 간 통합된 종속성 호출 그래프를 구축하는 것.
• 소스 코드에 나타나지 않는 구성 파일과 컨테이너 서비스를 분석하여 종속성 탐지의 재현율을 향상시키는 것.
• 실제 JEE 애플리케이션(Java PetStore 및 JSP Blog)을 대상으로 구현 및 평가를 통해 접근법을 검증하는 것.

제안 방법

• 모든 언어에 관계없이 프로그램 요소와 종속성을 모델링할 수 있는 기초로 OMG의 지식 탐색 메타모델(KDM)을 사용합니다.
• 다국어 코드(Java, JSP, JSF)를 파싱하고 KDM 모델에 매핑하기 위해 커스터마이징된 변환 규칙를 정의합니다.
• 프레임워크 사양과 문맥 자유 문법에서 유도된 선언적 규칙을 사용하여 컨테이너 서비스 종속성을 정의합니다.
• 구성 파일(예: web.xml, faces-config.xml)을 분석하여 소스 코드에 표현되지 않은 숨겨진 종속성을 추출합니다.
• 모든 컴포넌트 간 종속성 호출 그래프를 자동으로 구성하기 위해 Eclipse 플러그인 형태로 DeJEE 도구를 구현합니다.
• Java에 대한 MoDisco의 KDM 지원을 활용하고, JSP 및 JSF 컴포넌트를 처리하기 위해 커스터마이징된 파싱 및 규칙 기반 종속성 추론을 확장합니다.

실험 결과

연구 질문

• RQ1 다국어 소프트웨어 시스템, 특히 Java EE 애플리케이션에서 정적 코드 분석을 수행할 때 발생하는 핵심 과제는 무엇인가요?
• RQ2 컨테이너 서비스와 구성 파일에 의해 추상화된 종속성—특히 숨겨진 종속성—은 어떻게 체계적으로 식별하고 모델링할 수 있나요?
• RQ3 통합된 KDM 기반 모델은 다국어 시스템에서 종속성 호출 그래프 구성의 재현율과 정밀도를 얼마나 향상시킬 수 있나요?
• RQ4 제안된 접근법은 MoDisco와 같은 기존 도구에 비해 교차 컴포넌트 및 교차 언어 종속성을 탐지하는 데 얼마나 효과적인가요?
• RQ5 기존에 보이지 않던 종속성을 탐지하는 데서 프로그램 이해와 소프트웨어 유지보수에 실질적인 영향은 무엇이 있나요?

주요 결과

• DeJEE 도구는 다국어 Java EE 시스템 정적 분석에서 발생하는 다섯 가지 과제—다국어 종속성과 숨겨진 컨테이너 서비스—를 성공적으로 해결합니다.
• JSP Blog 및 Java PetStore 애플리케이션에서 DeJEE는 종속성 탐지에 대해 100% 정밀도를 달성합니다.
• JSP Blog의 경우 DeJEE는 100% 재현율을 확보하였고, Java PetStore의 경우도 높은 재현율을 확보하여 MoDisco를 크게 앞섭니다.
• 두 사례 연구에서 DeJEE는 KDM 엔티티 인스턴스에 대해 MoDisco 대비 70.5% 높은 재현율, KDM 관계 인스턴스에 대해 58.5% 높은 재현율을 기록합니다.
• 구성 파일과 컨테이너 서비스 분석을 통해 소스 코드에 나타나지 않는 종속성을 탐지함으로써 런타임 오류의 위험을 줄일 수 있습니다.
• Java, JSP, JSF 컴포넌트 간 KDM 기반 통합은 프로그램 이해 및 유지보수 작업을 위한 일관되고 통합된 종속성 호출 그래프를 가능하게 합니다.