给一个 C++ 项目接静态分析,要先回答两个问题:用哪个分析器、报告怎么汇总展示。这篇记一次实际选型的过程和结论——评估了九款工具,最后落在 PVS-Studio 出报告 + SonarQube 做看板这套组合上。

评估维度

挑工具时主要看五点:

• 可靠性——能查出多少真实的错误和风险,直接决定它对代码质量和安全的帮助。
• 扫描方式——是纯文本静态分析,还是要先编译、构建 AST 再分析。后者通常更准,但接入成本更高。
• 扫描速度——出一份报告要多久。
• 可集成性——接到 CI(Jenkins 等)和看板里难不难。
• 是否支持 SonarQube——能不能把报告喂给 SonarQube 统一展示。