草庐IT

【代码质量】C/C++静态检测/静态分析|TscanCode|cppcheck

bdview 2023-07-28 原文

目录

TscanCode

Windows下的安装与使用

Linux下的安装与使用

cppcheck

简介

 Linux下的安装与使用

Windows下的安装与使用

TscanCode

https://opensource.tencent.com/projects

TscanCode支持以下类型规则扫描：

  1. 空指针检查，包含可疑的空指针，判空后解引用比如Crash等共3类subid检查。
  2. 数据越界，Sprintf_S越界共1类subid检查。
  3. 内存泄漏，分配和释放不匹配同1类subid检查。
  4. 逻辑错误，重复的代码分支，bool类型和INT进行比较，表达式永远True或者false等共18类检查。
  5. 可疑代码检查，if判断中含有可疑的=号，自由变量返回局部变量等共计15类检查。
  6. 运算错误，判断无符号数小于0,对bool类型进行++自增等，共计11类检查。

链接：https://www.jianshu.com/p/f99d9a5d25ac

Windows下的安装与使用

TscanCode是腾讯静态分析团队开发的一款开源免费的C/C++静态分析工具，由于其比较简单实用，准确率较高，并且扫描C/C++代码不需要进行编译，所以个人觉得对C/C++项目开发挺有帮助的，就简单介绍一下该工具的安装与使用。

1.Tscancode下载安装

https://github.com/Tencent/TscanCode

下载完成，点击下一步，一直到安装完成即可，因为Tscancode有腾讯团队维护，所以，建议使用TscanCode。安装完成后的界面如下图所示，简介明了。

2.扫描项目，导入即可，即可以导入一个文件夹，也可以导入单个文件。

3.可以进行规则配置，点击设置，

4.点击扫描，结果如图所示，关闭之前需要保存结果文件为xml，以便于下次查看。

5.点击具体某项列表，可以进行详细信息查看

https://blog.csdn.net/liweibin812/article/details/84544750

Linux下的安装与使用

linux下不需要安装，下载tscancode 程序所在的目录，然后根据源码所在的地址，执行下面的命令即可

./tscancode    /源码地址/

例如：

[root@lrw888 TscanCodeV2.14.2395.linux]# ./tscancode ../../../../samples/cpp/
[Preprocess] [1/94, 0%] [0] [Done] /usr/TscanCode/samples/cpp/UnintentionalOverflow.cpp
[Preprocess] [2/94, 2%] [0] [Done] /usr/TscanCode/samples/cpp/arrayIndexCheckDefect.cpp
[Preprocess] [3/94, 3%] [0] [Done] /usr/TscanCode/samples/cpp/arrayindexoutofbounds.cpp
[Preprocess] [4/94, 4%] [0] [Done] /usr/TscanCode/samples/cpp/arrayindexthencheck.cpp
[Preprocess] [5/94, 5%] [0] [Done] /usr/TscanCode/samples/cpp/assignif.cpp
[Preprocess] [6/94, 6%] [0] [Done] /usr/TscanCode/samples/cpp/assignmentinassert.cpp
[Preprocess] [7/94, 7%] [0] [Done] /usr/TscanCode/samples/cpp/autovar.cpp
[Preprocess] [8/94, 8%] [0] [Done] /usr/TscanCode/samples/cpp/bitwiseonboolean.cpp
[Preprocess] [9/94, 9%] [0] [Done] /usr/TscanCode/samples/cpp/boolfuncreturn.cpp
[Preprocess] [10/94, 10%] [0] [Done] 
[/usr/TscanCode/samples/cpp/UnintentionalOverflow.cpp:4]: (Warning) Potentially overflowing expression around operator [ * ], which is evaluated using 4 byte arithmetic, and then used in a context that expects an expression of 8 bytes type.
[/usr/TscanCode/samples/cpp/arrayIndexCheckDefect.cpp:10]: (Critical) Array buf[10] is accessed at index [i] may out of bound, as the index range check defect at line 6 may be wrong, mind the boundary value.
[/usr/TscanCode/samples/cpp/arrayindexoutofbounds.cpp:11]: (Critical) Array 'a[10]' accessed at index 10, which is out of bounds.
[/usr/TscanCode/samples/cpp/arrayindexthencheck.cpp:5]: (Critical) Array index 'index' is used before limits check.
[/usr/TscanCode/samples/cpp/assignif.cpp:3] -> [/usr/TscanCode/samples/cpp/assignif.cpp:4]: (Warning) Mismatching assignment and comparison, comparison 'y==3' is always false.
[/usr/TscanCode/samples/cpp/autovar.cpp:5]: (Warning) Pointer to local array variable returned.
[/usr/TscanCode/samples/cpp/bufferaccessoutofbounds.cpp:5]: (Serious) Buffer is accessed out of bounds: sz
[/usr/TscanCode/samples/cpp/checkNullDefect.cpp:4]: (Critical) It's wrong way to check if [npSt] is null, this is usually caused by misusing && and ||, e.g. if(p != NULL || p->a == 42)
[/usr/TscanCode/samples/cpp/dereferenceAfterCheck.cpp:9]: (Serious) Comparing [obj] to null at line 3 implies that [obj ] might be null.Dereferencing null pointer [obj].
[/usr/TscanCode/samples/cpp/dereferenceBeforeCheck.cpp:6]: (Serious) Null - checking [obj] suggests that it may be null, but it has already been dereferenced at line 4.
[/usr/TscanCode/samples/cpp/dereferenceifnull.cpp:6]: (Critical) [npSt] is null dereferenced here, as codes at line 3 make it a null pointer.
[/usr/TscanCode/samples/cpp/duplicateif.cpp:8]: (Warning) Expression is always false because 'else if' condition matches previous condition at line 4.
[/usr/TscanCode/samples/cpp/explicitnulldereference.cpp:7]: (Critical) Dereferencing null pointer [npSt], [npSt] is assigned with null at line 3.
[/usr/TscanCode/samples/cpp/funcretlengthasindex.cpp:5]: (Serious) Index [length] which is returned form [read] may cause index out of bound.
[/usr/TscanCode/samples/cpp/funcretnullstatistic.cpp:54]: (Serious) return value of function [func_ret_null] [p] isn't checked-null, however [5] times checked-null elsewhere.
[/usr/TscanCode/samples/cpp/incorrectlogicoperator.cpp:3]: (Warning) Logical disjunction always evaluates to true: a != 1 || a != 3.
[/usr/TscanCode/samples/cpp/invaliddereferenceiterator.cpp:10]: (Serious) Iterator [iter] may be invalid here.

[root@lrw888 TscanCodeV2.14.2395.linux]#

cppcheck

简介

 cppcheck 是一个静态代码检查工具，支持c, c++ 代码；作为编译器的一种补充检查，cppcheck对产品的源代码执行严格的逻辑检查。 执行的检查包括：
   1.  自动变量检查
   2.  数组的边界检查
   3.  class类检查
   4.  过期的函数，废弃函数调用检查
   5.  异常内存使用，释放检查
   6.  内存泄漏检查，主要是通过内存引用指针
   7.  操作系统资源释放检查，中断，文件描述符等
   8.  异常STL 函数使用检查
   9.  代码格式错误，以及性能因素检查

 Linux下的安装与使用

安装：

centos 下的

yum install cppcheck

使用：

1默认用法

$cppcheck --enable=all test.cpp 
$cppcheck --enable=all ./src

2使用选项–output-file将结果存储在report.txt中

$cppcheck --enable=all --output-file=report.txt test.cpp

也可以用输出重定向

$cppcheck --enable=all test.cpp 2> report.txt

更多参数：

  1. 使能检查规则：
    1. 默认：--enable=error
    2. --enable=all 
    3. --enable=unusedFuntion path
    4. --enable=style
  2. 规则定义：
    1. error：出现的错误
    2. warning：为了预防bug防御性编程建议信息
    3. style：编码格式问题(没有使用的函数、多余的代码等)
    4. portablity：移植性警告。该部分如果移植到其他平台上，可能出现兼容性问题
    5. performance：建议优化该部分代码的性能
    6. information：一些有趣的信息，可以忽略不看的。
  3. 保存结果到文件中：重定向“>”
  4. -j 3 使用3个线程，如果代码工程太大，可以使用15-20个，自己随意发挥，不过还是参考cpuinfo

运行cppcheck -h可以得到参数的提示，这里直介绍我用到的参数

cppcheck -j 3 --enable=all  search/*

-j参数指定的是检查线程的个数，如果需要检查代码的量很大，-j参数还是很有用的

--enable指定当前指定的检查级别，可选的参数有all，style，information等

Windows下的安装与使用

如果是Windows的版本呢，就这样使用：

1、将Cppcheck绿色版cppcheck.rar解压；

2、打开cppcheckgui.exe；

3、菜单 check->directory；

4、选择源代码目录，确认；

5、Cppcheck自动开始走查；

http://www.mamicode.com/info-detail-596415.html

 

cppcheck + jenkins

https://www.jianshu.com/p/9c2306134e16

TscanCodecppcheckxff0cxffc++pythonlinuxjavamysql

有关【代码质量】C/C++静态检测/静态分析|TscanCode|cppcheck的更多相关文章

  1. ruby - 如何在 buildr 项目中使用 Ruby 代码？ - 2

    如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

  2. ruby-on-rails - Rails 源代码 : initialize hash in a weird way? - 2

    在rails源中:https://github.com/rails/rails/blob/master/activesupport/lib/active_support/lazy_load_hooks.rb可以看到以下内容@load_hooks=Hash.new{|h,k|h[k]=[]}在IRB中，它只是初始化一个空哈希。和做有什么区别@load_hooks=Hash.new 最佳答案 查看rubydocumentationforHashnew→new_hashclicktotogglesourcenew(obj)→new_has

  3. ruby - RuntimeError(自动加载常量 Apps 多线程时检测到循环依赖 - 2

    我收到这个错误:RuntimeError(自动加载常量Apps时检测到循环依赖当我使用多线程时。下面是我的代码。为什么会这样？我尝试多线程的原因是因为我正在编写一个HTML抓取应用程序。对Nokogiri::HTML(open())的调用是一个同步阻塞调用，需要1秒才能返回，我有100,000多个页面要访问，所以我试图运行多个线程来解决这个问题。有更好的方法吗？classToolsController0)app.website=array.join(',')putsapp.websiteelseapp.website="NONE"endapp.saveapps=Apps.order("

  4. ruby-on-rails - 浏览 Ruby 源代码 - 2

    我的主要目标是能够完全理解我正在使用的库/gem。我尝试在Github上从头到尾阅读源代码，但这真的很难。我认为更有趣、更温和的踏脚石就是在使用时阅读每个库/gem方法的源代码。例如，我想知道RubyonRails中的redirect_to方法是如何工作的:如何查找redirect_to方法的源代码？我知道在pry中我可以执行类似show-methodmethod的操作，但我如何才能对Rails框架中的方法执行此操作？您对我如何更好地理解Gem及其API有什么建议吗？仅仅阅读源代码似乎真的很难，尤其是对于框架。谢谢! 最佳答案 Ru

  5. ruby - 模块嵌套代码风格偏好 - 2

    我的假设是moduleAmoduleBendend和moduleA::Bend是一样的。我能够从thisblog找到解决方案,thisSOthread和andthisSOthread.为什么以及什么时候应该更喜欢紧凑语法A::B而不是另一个，因为它显然有一个缺点？我有一种直觉，它可能与性能有关，因为在更多命名空间中查找常量需要更多计算。但是我无法通过对普通类进行基准测试来验证这一点。 最佳答案 这两种写作方法经常被混淆。首先要说的是，据我所知，没有可衡量的性能差异。(在下面的书面示例中不断查找)最明显的区别，可能也是最著名的，是你的

  6. ruby - 寻找通过阅读代码确定编程语言的ruby gem？ - 2

    几个月前，我读了一篇关于ruby​​gem的博客文章，它可以通过阅读代码本身来确定编程语言。对于我的生活，我不记得博客或gem的名称。谷歌搜索“ruby编程语言猜测”及其变体也无济于事。有人碰巧知道相关gem的名称吗？ 最佳答案 是这个吗:http://github.com/chrislo/sourceclassifier/tree/master 关于ruby-寻找通过阅读代码确定编程语言的rubygem？，我们在StackOverflow上找到一个类似的问题：

  7. ruby - Net::HTTP 获取源代码和状态 - 2

    我目前正在使用以下方法获取页面的源代码:Net::HTTP.get(URI.parse(page.url))我还想获取HTTP状态，而无需发出第二个请求。有没有办法用另一种方法做到这一点？我一直在查看文档，但似乎找不到我要找的东西。 最佳答案 在我看来，除非您需要一些真正的低级访问或控制，否则最好使用Ruby的内置Open::URI模块:require'open-uri'io=open('http://www.example.org/')#=>#body=io.read[0,50]#=>"["200","OK"]io.base_ur

  8. 程序员如何提高代码能力？ - 2

    前言作为一名程序员，自己的本质工作就是做程序开发，那么程序开发的时候最直接的体现就是代码，检验一个程序员技术水平的一个核心环节就是开发时候的代码能力。众所周知，程序开发的水平提升是一个循序渐进的过程，每一位程序员都是从“菜鸟”变成“大神”的，所以程序员在程序开发过程中的代码能力也是根据平时开发中的业务实践来积累和提升的。提高代码能力核心要素程序员要想提高自身代码能力，尤其是新晋程序员的代码能力有很大的提升空间的时候，需要针对性的去提高自己的代码能力。提高代码能力其实有几个比较关键的点，只要把握住这些方面，就能很好的、快速的提高自己的一部分代码能力。1、多去阅读开源项目，如有机会可以亲自参与开源

  9. 7个大一C语言必学的程序 / C语言经典代码大全 - 2

    嗨~大家好，这里是可莉！今天给大家带来的是7个C语言的经典基础代码~那一起往下看下去把【程序一】打印100到200之间的素数#includeintmain(){ inti; for(i=100;i 【程序二】输出乘法口诀表#includeintmain(){inti;for(i=1;i 【程序三】判断1000年---2000年之间的闰年#includeintmain(){intyear;for(year=1000;year 【程序四】给定两个整形变量的值，将两个值的内容进行交换。这里提供两种方法来进行交换，第一种为创建临时变量来进行交换，第二种是不创建临时变量而直接进行交换。1.创建临时变量来

  10. git使用常见问题（提交代码，合并冲突） - 2

    文章目录git常用命令（简介，详细参数往下看）Git提交代码步骤gitpullgitstatusgitaddgitcommitgitpushgit代码冲突合并问题方法一：放弃本地代码方法二：合并代码常用命令以及详细参数gitadd将文件添加到仓库：gitdiff比较文件异同gitlog查看历史记录gitreset代码回滚版本库相关操作远程仓库相关操作分支相关操作创建分支查看分支：gitbranch合并分支：gitmerge删除分支：gitbranch-ddev查看分支合并图：gitlog–graph–pretty=oneline–abbrev-commit撤消某次提交git用户名密码相关配置g

随机推荐