第37章静态分析

课程目录第37章静态分析

第37章：静态分析：集成clang-tidy或cppcheck到构建流程

说实话，静态分析这事儿，我早年做C++项目时根本没当回事。总觉得代码能编译通过、跑起来没问题就行了。直到有一次，一个内存泄漏的bug在生产环境潜伏了三个月才被发现——那叫一个惨。从那以后，我养成了一个习惯：把静态分析工具直接嵌到CMake构建流程里，让编译器每次编译都顺带帮我扫一遍代码。

这一章，我就跟你聊聊怎么把clang-tidy和cppcheck集成到CMake里。说白了，就是让机器替你当代码审查员。

37.1 为什么要在构建流程里做静态分析？

你想想看，代码写完了，提交之前，如果能自动跑一遍静态检查，是不是省心很多？我个人的经验是：越早发现问题，修复成本越低。编译阶段就能揪出来的bug，千万别拖到测试阶段。

静态分析能帮你发现什么？

未初始化变量
内存泄漏
空指针解引用
逻辑错误（比如永远为true的条件）
代码风格违规（比如命名不规范）

嗯，这些毛病，光靠编译器警告是不够的。编译器只关心语法对不对，不关心你的代码是不是"有味道"。

核心观点：静态分析不是可选项，而是现代C++工程的必需品。把它集成到CMake里，就是给项目上了一道保险。

37.2 集成clang-tidy到CMake

clang-tidy是LLVM家族的一员，功能非常强大。它不仅能做静态分析，还能做代码格式化检查、现代化改造建议（比如把旧式循环改成range-based for）。

我一般这么集成：

# CMakeLists.txt 片段
find_program(CLANG_TIDY clang-tidy)
if(CLANG_TIDY)
    set(CMAKE_CXX_CLANG_TIDY
        "${CLANG_TIDY}"
        "--checks=*,-modernize-use-trailing-return-type"
        "--warnings-as-errors=*"
    )
    message(STATUS "clang-tidy 已启用: ${CLANG_TIDY}")
else()
    message(WARNING "clang-tidy 未找到，跳过静态分析")
endif()

这里有个关键点：CMAKE_CXX_CLANG_TIDY这个变量是CMake内置支持的。你只要把它设置好，CMake在每次编译源文件时，都会自动调用clang-tidy进行检查。

小技巧：我建议先用--checks=*启用所有检查，然后逐个排除你不需要的。比如modernize-use-trailing-return-type这个检查，我个人觉得太激进，就把它排除了。

如果你想更精细地控制，可以创建一个.clang-tidy配置文件放在项目根目录：

# .clang-tidy
Checks: '*,-modernize-use-trailing-return-type'
WarningsAsErrors: '*'
HeaderFilterRegex: '.*'
FormatStyle: file

这样，clang-tidy就会自动读取这个配置文件，你甚至不需要在CMake里指定检查项了。

37.3 集成cppcheck到CMake

cppcheck是另一个老牌的静态分析工具，它更专注于检测bug，而不是代码风格。我个人觉得，cppcheck和clang-tidy是互补的——一个抓逻辑错误，一个抓风格问题。

cppcheck的集成方式稍微麻烦一点，因为CMake没有内置变量支持它。不过我们可以用add_custom_target来实现：

find_program(CPPCHECK cppcheck)
if(CPPCHECK)
    # 收集所有源文件
    file(GLOB_RECURSE ALL_SOURCES
        ${CMAKE_SOURCE_DIR}/src/*.cpp
        ${CMAKE_SOURCE_DIR}/src/*.h
    )

    add_custom_target(cppcheck
        COMMAND ${CPPCHECK}
            --enable=all
            --suppress=missingIncludeSystem
            --suppress=unmatchedSuppression
            --inconclusive
            --xml
            --xml-version=2
            --output-file=${CMAKE_BINARY_DIR}/cppcheck-report.xml
            ${ALL_SOURCES}
        COMMENT "运行 cppcheck 静态分析..."
        WORKING_DIRECTORY ${CMAKE_SOURCE_DIR}
    )
else()
    message(WARNING "cppcheck 未找到，跳过静态分析")
endif()

然后你只需要运行make cppcheck或者cmake --build . --target cppcheck，就能触发检查了。

注意：cppcheck默认不会检查所有规则。我建议加上--enable=all，但要注意这会带来一些误报。我曾经在一个项目里被cppcheck的"unmatchedSuppression"警告搞得很烦，后来直接把它suppress掉了。

37.4 两种工具一起用？

当然可以。我通常的做法是：

clang-tidy：作为编译的一部分，每次编译都跑。因为它快，而且和编译器集成得好。
cppcheck：作为单独的CI步骤，或者定期手动触发。因为它检查更深入，但速度慢一些。

你可以在CI脚本里这样写：

# 编译时自动跑 clang-tidy
cmake -DCMAKE_CXX_CLANG_TIDY="clang-tidy;--checks=*" ..
make

# 单独跑 cppcheck
cmake --build . --target cppcheck

这样既保证了每次编译都有基础检查，又能在关键节点做深度分析。

37.5 知识体系一览

下面这张图，是我对本章知识结构的总结。你可以看到，静态分析工具和CMake的集成，本质上就是在构建流程中插入一个检查环节。

从图中你可以看到：clang-tidy走的是"编译时自动检查"路线，而cppcheck走的是"独立目标手动触发"路线。两条路各有优劣，我建议你根据项目规模来选择。

37.6 避坑指南

我在实际项目中踩过不少坑，这里挑几个典型的说说：

误报太多怎么办？ 我曾经在一个遗留项目里启用clang-tidy，结果报了几百个警告。后来我用了.clang-tidy配置文件，逐步启用检查项，而不是一次性全开。
编译速度变慢？ clang-tidy确实会拖慢编译速度。我建议在开发阶段只启用关键检查，把完整检查留给CI。
cppcheck找不到头文件？ 记得在cppcheck命令里加上-I参数，指定头文件搜索路径。不然它会报一堆"missingInclude"的误报。

我的习惯：在项目根目录放一个.clang-tidy文件，在CMakeLists.txt里只写一行set(CMAKE_CXX_CLANG_TIDY "clang-tidy")。这样配置和构建逻辑分离，维护起来清爽很多。

37.7 总结

静态分析集成到CMake，说白了就是两件事：

clang-tidy：用CMAKE_CXX_CLANG_TIDY变量，编译时自动跑。
cppcheck：用add_custom_target创建独立目标，手动或CI触发。

我个人强烈建议你把至少一个静态分析工具集成到项目里。别等到线上出bug了才后悔——那滋味，我尝过一次就够了。

公众号:蓝海资料掘金营，微信deep3321

📚 课程目录