Analyse statique de programmes Typage et analyse statique au sein de Java

Transcription

1 Analyse statique de programmes Typage et analyse statique au sein de Java Master Professionnel Informatique spécialité FSIL/FSI Jean-Marc Talbot Aix-Marseille Université 7 nov 2011 Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

2 Bibliographie Notes de cours de François Barthélemy Notes de cours de Jean-Marc Rifflet The Java TM Virtual Machine Specification Sun Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

3 Plan du cours 1 Typage de Java 2 Typage et le bytecode Java Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

4 Java Langage Orienté Objet à base de classes supporte l héritage simple (contrairement à C++) mais notion d interfaces (classe abstraite en C++ avec méthodes virtuelles pures) une classe... ne peut hériter que d une classe mais implémenter plusieurs interfaces Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

5 Typage de Java : garanties comme dans tous les autres langages, les opérandes et les opérations doivent avoir des types qui correspondent. l écriture de a.m(s 1,.., s n ) dans mon programme implique que l objet a a effectivement une méthode qui s appelle m et le type de la méthode est le bon (paramètres et valeur retournée) class A{ void m(a a){... class B extends A{ void n(b b){... B b = new B();.. b.m(b)... une affectation est possible si la valeur a suffisament de champs B b = new B(); A a = b; Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

6 Typage de Java : garanties comme dans tous les autres langages, les opérandes et les opérations doivent avoir des types qui correspondent. l écriture de a.m(s 1,.., s n ) dans mon programme implique que l objet a a effectivement une méthode qui s appelle m et le type de la méthode est le bon (paramètres et valeur retournée) class A{ void m(a a){... class B extends A{ void n(b b){... B b = new B();.. b.m(b)... une affectation est possible si la valeur a suffisament de champs B b = new B(); A a = b; Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

7 Typage de Java : généralités Le typage passe par les classes et les interfaces avec une relation de sous-typage comprenant : une classe peut hériter d une autre classe une classe peut implémenter un ou plusieurs interfaces une interface peut hériter d une ou plusieurs interfaces Java est un langage à typage statique fort En réalité, statique : pas complètement (une partie du typage est faite dynamiquement) fort : pas tant que ça (mais de gros progrès depuis la généricité) Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

8 Typage de Java : curiosité class A{ void m(a a){ System.out.println("m de A"); void n(a a){ System.out.println("n de A"); class B extends A{ void m(a a){ System.out.println("m de B"); void n(b b){ System.out.println("n de B"); public static void main(string[] argv){ A a = new B(); B b = new B(); a.m(b); a.n(b); Quel est le type de a? Que fait ce programme? Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

9 Typage de Java : curiosité class A{ void m(a a){ System.out.println("m de A"); void n(a a){ System.out.println("n de A"); class B extends A{ void m(a a){ System.out.println("m de B"); void n(b b){ System.out.println("n de B"); public static void main(string[] argv){ A a = new B(); B b = new B(); a.m(b); a.n(b); m de B n de A Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

10 Hiérarchie des Types Un type est soit une classe C, soit une interface I Définition de la relation de sous-typage : pour tout type T on a T T (réflexivité de la relation) ; si la classe SC est une sous-classe de C, on a SC C ; si l interface SI est une sous-interface de I, on a SI I; si la classe C implante l interface I, on a C I; si ST T, alors ST [ ] T [ ]; si SST ST et ST T, alors SST T (transitivité de la relation). si T est un type, alors T [ ] Object Si ST T alors on peut mettre une valeur de type ST là où une valeur de type T est attendue. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

11 Algorithme de typage en 2 phases Chaque phase parcourt le source Java du fichier Phase 1 : collection de l environnement de typage Γ Phase 2 : vérification des types pour l environnement Γ Utile car l ordre de définition des classes est sans importance au sein d un même fichier. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

12 Algorithme de typage : Phase 1 Construction de l environnement de typage en parcourant l ensemble des classes et interfaces d un fichier. Cet environnement regroupe les informations de type pour les variables d instance et les méthodes de chacune des classes et interfaces. Pour chaque classe, on conserve le nom de la super-classe les interfaces implémentées par la classe les variables d instances définies dans cette classe (non héritées) avec leur type. les méthodes définies dans cette classe (non héritées) avec leur type. Pour chaque interface, on conserve les noms des super-interfaces les variables d instances définies dans cette interface (non héritées) avec leur type. les méthodes définies dans cette interface (non héritées) avec leur type. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

13 Algorithme de typage : Phase 1 Exemple : class A{ void m(a a){ System.out.println("m de A"); void n(a a){ System.out.println("n de A"); Γ = class B extends A{ void m(a a){ System.out.println("m de B"); void n(b b){ System.out.println("n de B"); public static void main(string[] argv) { A a = new B(); B b = new B(); a.m(b); a.n(b); { (class A, Object, {, {, {(m, A, void), (n, A, void)), (class B, class A, {, {, {(m, A, void), (n, B, void), (main, String[], void)) Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

14 Algorithme de typage : Phase 2 Typage des classes : une classe C est bien typée si : la relation ne contient pas de cycle non-triviaux les variables d instance ont toutes des noms différents il n existe pas deux méthodes de C qui possèdent exactement le même profil d arguments si C redéfinit une méthode d une de ses classes ancètres (ie avec le même profil d arguments) alors les types de retour sont identiques. C contient directement ou par héritage toutes les méthodes des interfaces qu elle implémente et ce avec des types identiques la suite des variables d instance est bien typée toutes les méthodes de la classe C sont bien typées Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

15 Algorithme de typage : Phase 2 Typage des variables d instance T 1 v 1 = e 1 ; T 2 v 2 = e 2 ;... T n v n = e n; e 1 : T 1 Γ et T 1 T 1 e 2 : T 2 Γ {(v 1 : T 1 ) et T 2 T 2... e n : T n Γ {(v 1 : T 1 )...(v n 1 : T n 1 ) et T n T n T 1 v 1 = e 1 ; T 2 v 2 = e 2 ;... T n v n = e n ; : void Γ Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

16 Algorithme de typage : Phase 2 Typage des méthodes de la classe T m(t 1 x 1,...,T n x n){ inst 1 ; inst 2 ;... inst k ; ; inst 1 ; : void, inst 2 ; : void,..., inst k ; : void pour tout i tel que inst i = return exp, exp : T Γ {(x 1 : T 1 ),..., (x n : T n) et T T T m(t 1 x 1,..., T n x n){inst 1 ; inst 2 ;...inst k ; ; : void Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

17 Algorithme de typage : Phase 2 Typage des instructions : affectation v : T Γ, e : T Γ et T T v = e; : void Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

18 Algorithme de typage : Phase 2 Typage des instructions : invocation de méthode le typage statique de l invocation d une méthode vise à déterminer le profil de la méthode qui sera invoquée à l exécution. (mais le choix de la méthode se fait à l exécution : liaison tardive) Afin que o.m(e 1,..,e n ) soit bien typé, si e 1 :T 1 Γ,..., e n :T n Γ alors la méthode invoquée m(t 1 x 1,...,T n x n ) vérifie T 1 T 1,...,T n T n. Mais dans quelle classe choisir cette méthode du fait de l héritage et de la surcharge et quel sera le type statique exacte de cette méthode? Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

19 Algorithme de typage : Phase 2 Typage des instructions : invocation de méthode class A{ int m(a a) {... class B extends A{ boolean m(b b) {... int m(a a) {... B b1 = new B(); A b2 = new B();... Quel est le type de b1.m(b1), de b2.m(b2) et de b1.m(b2)? En partant de la classe de l objet sur lequel l invocation est faite, on collectionne en remontant la hiérarchie toutes les méthodes de nom m et de type compatible. ici, pour b1.m(b1) (avec b1:b Γ): 1 boolean m(b b) dans la classe B 2 int m(a a) dans la classe B 3 int m(a a) dans la classe A Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

20 Algorithme de typage : Phase 2 Typage des instructions : invocation de méthode class A{ int m(a a) {... class B extends A{ boolean m(b b) {... int m(a a) {... B b1 = new B(); A b2 = new B();... Quel est le type de b1.m(b1), de b2.m(b2) et de b1.m(b2)? En partant de la classe de l objet sur lequel l invocation est faite, on collectionne en remontant la hiérarchie toutes les méthodes de nom m et de type compatible. ici, pour b1.m(b1) (avec b1:b Γ): 1 boolean m(b b) dans la classe B 2 int m(a a) dans la classe B 3 int m(a a) dans la classe A Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

21 Algorithme de typage : Phase 2 Typage des instructions : invocation de méthode (suite) Pour chacune des méthodes trouvées, on calcule le produit cartésien de la classe et du profil des arguments de la méthode. ici, 1 (B,B) 2 (B,A) 3 (A,A) On choisit comme type de l invocation celui retourné par la méthode de m de la classe C avec pour profil d arguments (T 1,...,T n ) avec un produit cartésien minimal dans ceux calculés, pour l ordre (C, T 1,..., T n ) (C, T 1,..., T n ) ssi C C et T 1 T 1,..., T n T n ici, le tuple minimal est B,B (puisque B A) et donc le type retourné par cette méthode est boolean. b1.m(b1) est donc de type boolean Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

22 Algorithme de typage : Phase 2 Typage des instructions : invocation de méthode Cependant,... class A{ int m(b b) {... class B extends A{ bool m(a a) {... A a = new A(); B b = new B();... Quel est le type de b1.m(b1)? 1 (A,B) 2 (B,A) Pas d élement minimal ambiguité : le programme est rejeté à la compilation. On peut lever l ambiguité en privilégiant, par exemple, la classe. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

23 Typage réel/dynamique vs type déclaré/statique class A{ void print(int i){system.out.println("dans A");; class B extends A{ void print(int i){system.out.println("dans B");; class essai{ public static void main(string[] argv){ A b = new B(); b.print(1); Type statique : inférer par l algorithme (type statique de b = A) Type dynamique : celui de l objet à l exécution (type dynamique de b = B) Le typage (statique) nous donne le profil de la méthode à invoquer et nous assure qu une méthode avec le bon type existe Mais liaison tardive/late binding : le choix de la méthode se fait à l exécution avec le type réel. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

24 Typage à l exécution : ce qu il reste à vérifier Transtypage vers le bas (explicite) : (T)a utile notamment pour les SDD de l API Java (antérieures à la généricité) en supposant a de type T, ce transtypage nécessite juste un type comparable : T T ou T T pour passer la compilation Remarque : (T)a est une expression de type T Eventuel problème à l exécution si le type réel de l objet n est un sous-type de T. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

25 Typage à l exécution : ce qu il reste à vérifier Transtypage vers le bas (explicite) : (T)a utile notamment pour les SDD de l API Java (antérieures à la généricité) en supposant a de type T, ce transtypage nécessite juste un type comparable : T T ou T T pour passer la compilation Remarque : (T)a est une expression de type T Eventuel problème à l exécution si le type réel de l objet n est un sous-type de T. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

26 Plan du cours 1 Typage de Java 2 Typage et le bytecode Java Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

27 Exécution d un programme Java Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

28 Un exemple de fichier.class class essai extends java.lang.object{ essai(); Code: 0: aload 0 1: invokespecial #1; //Method java/lang/object."<init>":()v 4: return public static void main(java.lang.string[]); Code: 0: new #2; //class B 3: dup 4: invokespecial #3; //Method B."<init>":()V 7: astore 1 8: aload 1 9: iconst 1 11: invokevirtual #4; //Method A.print:(I)V 14: return Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

29 La machine virtuelle Java : architecture Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

30 JVM pc contient l adresse de l instruction courante; La mémoire contient un tas (heap) dans lequel les objets sont alloués Pour chaque thread, Frame stack : une frame est créée à chaque invocation de méthodes et empilée sur la frame stack; à la fin de l exécution de la méthode, la frame correspondante est dépilée. Chaque frame contient : la méthode courante des variables locales la pile des opérandes Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

31 JVM : langage Le langage de la JVM est un langage de bas niveau (type langage machine) mais orientée objet. contient les principaux types primitifs de Java supporte les classes et les interfaces. Le langage utilise intensément la pile des opérandes pour faire la manipulation des données (y compris objet) et les branchements conditionnels : iadd, isub,... ifeq, if icmpeq, if icmpne,... new, putfield, getfield,... L appel de méthodes se fait notamment avec invokevirtual, invokespecial. Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

32 JVM : Bytecode verifier Le bytecode est un langage de bas niveau orientée objet avec un mécanisme de typage statique. Pourquoi vérifier le bytecode? le code produit par javac est sûr mais la JVM ignore la provenance du bytecode qu elle charge. il faut donc (re)vérifier le typage il faut garantir des propriétés supplémentaires pour le bon fonctionnement de la JVM Le gestionnaire de sécurité effectue d autres vérification : Propriétés de sécurité (voir le cours de sécurité) Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

33 JVM : Bytecode verifier Propriétés vérifiées : on ne forge pas de pointeur l accès aux méthodes et aux champs d un objet est garanti (le champs ou la méthode existe effectivement) l accès aux méthodes et aux champs d un objet respecte les règles d accès les opérations et les invocations de méthodes se font sur des valeurs de type correct. la hauteur de la pile d opérandes est borné et il n y a pas d erreurs d understack. toutes les branches du flot de contrôle d une méthode non-void conduit à un return et le sommet de la pile des opérandes est du type de la méthode.... Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

34 JVM : Bytecode verifier Hauteur de pile bornée : La zone contenant la pile opérandes de la JVM et les variables locales doit être de taille borné. La pile doit donc être de hauteur bornée. 8 : ifeq : dup 13 : iconst 1 14 : isub 15 : dup 16 : goto 8 17 : ne passe pas le vérificateur! Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

35 JVM : Bytecode verifier Hauteur de pile bornée : On va vérifier que pour chaque instruction, il existe un entier k tel que la hauteur de la pile est k à l issu de l exécution de l instruction. On se place dans le cadre de l analyse de flot de données : On abstrait chaque instruction par une fonction que résume l action de celle-ci sur la pile 8 : ifeq : dup 13 : iconst 1 14 : isub 15 : dup 16 : goto 8 17 : λx.x 1 λx.x + 1 λx.x + 1 λx.x 1 λx.x + 1 λx.x Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32

36 JVM : Bytecode verifier Hauteur de pile bornée : On extrait du programme un ensemble d équations en utilisant les fonctions d abstraction (en supposant que H i est la hauteur de pile après l instruction i): et on résout ce système sur N, H 12 = H H 13 = H H 14 = H 13 1 H 15 = H H 16 = H 15 H 8 = H 16 1 H 16 = H Pas de solution! le code est rejeté! Remarque : S il existe une solution sur Z mais pas sur N alors on a détecté un stack underflow Jean-Marc Talbot (Aix-Marseille Université)Typage et analyse statique au sein de Java 7 nov / 32