Cppcheck C/C++静态分析技能

概述

Cppcheck是C/C++静态分析工具，无需编译即可检测代码中的：

• 缺陷：空指针解引用、数组越界、内存泄漏
• 未定义行为：整数溢出、未初始化变量、空指针
• 安全漏洞：缓冲区溢出、格式化字符串漏洞
• 代码风格：冗余代码、复杂表达式

工具位置

CPPCHECK=/usr/bin/cppcheck
# 版本: Cppcheck 2.17.1

执行流程

步骤1：确定源代码路径

SRC_DIR=src  # 根据项目结构调整

步骤2：执行分析

# 基础检查（默认级别）
$CPPCHECK --enable=warning $SRC_DIR

# 完整检查（含风格、性能、可移植性）
$CPPCHECK --enable=all $SRC_DIR 2> cppcheck-full.txt

# 仅缺陷检查（不含风格）
$CPPCHECK --enable=warning,information $SRC_DIR 2> cppcheck-defects.txt

# 安全漏洞专项
$CPPCHECK --enable=warning --check-level=exhaustive $SRC_DIR 2> cppcheck-security.txt

步骤3：指定输出格式

# 文本格式（默认，输出到stderr）
$CPPCHECK --enable=all $SRC_DIR 2> cppcheck.txt

# XML格式
$CPPCHECK --enable=all --xml $SRC_DIR 2> cppcheck.xml

# XML版本2（推荐，用于CI集成）
$CPPCHECK --enable=all --xml-version=2 $SRC_DIR 2> cppcheck-v2.xml

# JSON格式
$CPPCHECK --enable=all --output-file=cppcheck.json --template=json $SRC_DIR

常用参数

检查类别详解

1. warning（默认启用）

2. style

3. performance

4. portability

与构建系统集成

CMake集成

# 生成compile_commands.json
set(CMAKE_EXPORT_COMPILE_COMMANDS ON)

# CTest集成
add_test(NAME cppcheck
  COMMAND /usr/bin/cppcheck --enable=all --xml-version=2
          --project=${CMAKE_BINARY_DIR}/compile_commands.json
          2>${CMAKE_BINARY_DIR}/cppcheck.xml)

Makefile集成

cppcheck:
 /usr/bin/cppcheck --enable=all --xml-version=2 \
  -I include -I src \
  src/ 2>cppcheck.xml

compile_commands.json

# CMake自动生成
cmake -DCMAKE_EXPORT_COMPILE_COMMANDS=ON ..

# Bear工具生成（非CMake项目）
bear -- make

# 使用compile_commands.json分析
$CPPCHECK --enable=all --project=compile_commands.json 2> cppcheck.xml

抑制警告

行内抑制

// cppcheck-suppress memoryLeak
char* p = malloc(100);

文件级抑制

$CPPCHECK --suppress=unusedFunction:src/main.cpp --enable=all $SRC_DIR

抑制文件（suppressions.txt）

unusedFunction
memoryLeak:src/legacy.c
uninitvar:src/parser.c:100

$CPPCHECK --suppressions-list=suppressions.txt --enable=all $SRC_DIR

MISRA C/C++检查

# MISRA C 2012检查
$CPPCHECK --addon=misra --enable=style $SRC_DIR 2> misra.txt

# MISRA C++ 2008检查
$CPPCHECK --addon=misra-cpp2008 --enable=style $SRC_DIR 2> misra-cpp.txt

分析结果处理

统计问题类型

grep -oP '\[(\w+)\]' cppcheck.txt | sort | uniq -c | sort -nr

提取高危问题

grep -E '(error|warning):' cppcheck.txt

生成摘要

echo "=== Cppcheck分析报告 ==="
echo "总问题数: $(grep -c '\[' cppcheck.txt)"
echo "错误: $(grep -c '(error)' cppcheck.txt)"
echo "警告: $(grep -c '(warning)' cppcheck.txt)"
echo "风格: $(grep -c '(style)' cppcheck.txt)"

最佳实践

1. 渐进式采用：先启用warning，逐步增加style、performance
2. 使用compile_commands.json：确保头文件路径正确
3. 并行分析：大型项目使用-j参数加速
4. 抑制管理：对误报使用抑制，定期审查抑制列表
5. CI集成：将cppcheck纳入持续集成流程

技能版本: 1.0.0 工具版本: Cppcheck 2.17.1 适用项目: C/C++项目 输出位置: 当前目录下的cppcheck-*.txt文件