cppcheck实现c++代码静态检查

本文案旨在输出方法： 通过jenkins集成cppcheck实现对c++代码的检查，并输出报告，通过报表可以明确分析出问题

Cppcheck是c/c++代码的静态分析工具。它提供了独特的代码分析来检测bug，并着重于检测未定义的行为和危险的编码结构。我们的目标是只检测代码中的真正错误（例如，只有很少的误报）。

特征
独特的代码分析，可以检测代码中的各种错误。
命令行界面和图形用户界面均可用。
Cppcheck非常注重检测未定义的行为。

检查范围

未定义的行为

死去的指针
除零
整数溢出
无效位移位操作数
无效的转换
STL的无效使用
内存管理
空指针取消引用
出界检验
未初始化变量
文字常量数据

本文简易思路：

1. jenkins
2. cppcheck工具
3. cppcheck插件
4. 将以上工具部署jenkins工程
5. 执行工程
6. 呈现报表，分析结果

一、安装jenkins

此处略过

二、安装cppcheck

1. 工具下载
2. 安装默认下一步，下一步
3. 设置环境变量，将cppcheck安装路径加入path
   C:\Program Files\Cppcheck

写几个有问题的cpp文件简单测试下：

2.cpp

void fun() {
  char *name = (char *) alloca(size);
  // ...
  free(name); // Noncompliant, memory allocated on the stack
  char *name2 = "name";
  // ...
  free(name2); // Noncompliant, memory allocated on the stack
}

3.cpp

void fun() {
  FILE * pFile;
  pFile = fopen(fileName, "w");

  if (condition) {
    fclose(pFile);
    // ...
  }

  fclose(pFile); // Noncompliant, the file has already been closed
}

a. cpp

#include 

int main()
{
    int* p;
    int m = *p;
    return 1;
}

打开cppcheck客户端选择文件，发现3个错误

image.png

三 、jenkins安装cppcheck插件

Cppcheck插件在构建工作区中扫描Cppcheck报告文件，并报告在静态C / C ++代码分析期间检测到的问题。

此插件提供以下功能：

• 在构建，构建状态评估和图形之后配置要扫描的文件。
• 趋势报告显示每种类型检测到的问题数。
• 结果摘要和结果详细信息包括新问题和已解决的问题。
• 列出突出问题的源代码。
• 显示单个页面上突出显示的所有违规。
• 仪表板视图 portlet显示每个作业的问题数。
• 远程访问API（REST API）。
• 适用于大多数项目/工作类型。

1. jenkins-系统管理-插件管理-可选插件搜索cppcheck

   
   
   image.png

手动下载安装

2. 安装后重启
3. 创建一个cppcheck_test的工程
4. 按如下配置：
   构建

cd E:\src
cppcheck -j 1 --enable=all --xml ./* 1>  %WORKSPACE%/cppcheck-result.xml 2>&1

参考样例：

＃最小的参数集
cppcheck --xml --xml-version = 2 SOURCE_DIRECTORY 2> cppcheck.xml

＃启用所有检查
cppcheck --enable = all --inconclusive --xml --xml-version = 2 SOURCE_DIRECTORY 2> cppcheck.xml

＃分析多个并行线程
cppcheck -j 4 --enable = all --inconclusive --xml --xml-version = 2 SOURCE_DIRECTORY 2> cppcheck.xml

image.png

构建后操作

image.png

image.png

5. 执行结果

   
   
   image.png

6. 详细结果

   
   
   image.png

客户端和插件

Cppcheck与许多流行的开发工具集成在一起。例如：

• CLion - Cppcheck插件
• Code :: Blocks - 集成
• CodeDX（软件保障工具） - 集成
• CodeLite - 集成
• CppDepend 5 - 整合
• Eclipse - Cppcheclipse
• KDevelop - 自v5.1开始集成
• gedit - gedit插件
• Hudson - Cppcheck插件
• Jenkins - Cppcheck插件
• Mercurial（Linux） - 预提交钩子 - 检查提交时的新错误（需要交互式终端）
• Tortoise SVN - 添加预提交钩子脚本
• Git（Linux） - 预提交钩子 - 检查进入提交的文件中的错误（需要交互式终端）
• Visual Studio - Visual Studio插件
• QtCreator - Qt项目工具（qpt）

其他静态分析工具##

使用一组工具比使用一个工具更好。每个工具都有独特的代码分析，因此我们建议您也使用其他工具。

Cppcheck专注于错误而不是文体问题。因此，专注于风格问题的工具可能是一个很好的补充。

Cppcheck非常努力地避免误报。有时人们想要检测所有错误，即使会有很多错误警告，例如当他们正在处理发布并想要验证没有错误时。比Cppcheck噪声更大的工具可能是一个很好的补充。

即使是与Cppcheck具有相同设计目标的工具也可能是很好的补充。静态分析是如此大的领域，Cppcheck只涵盖了它的一小部分。没有工具可以覆盖整个领域。所有手动测试因某些工具而过时的日子都很遥远。