3. 环境搭建：PC-lint / Cppcheck / SonarQube 等静态分析工具的安装与配置
好，咱们进入实战环节的第一步。工具链搭不起来，后面全是纸上谈兵。我见过不少团队，规范文档写了几十页，结果连个自动化检查的门都没摸到。今天咱们就把 PC-lint、Cppcheck、SonarQube 这三板斧装好、配通。
核心思路：本地开发用 Cppcheck 快速反馈，持续集成用 PC-lint 做深度检查，SonarQube 做长期质量看板。三者互补，不是替代关系。
3.1 工具选型与定位
先搞清楚每个工具该干什么。别指望一把螺丝刀干完所有活。
| 工具 | 定位 | 检查深度 | 典型场景 |
|---|---|---|---|
| Cppcheck | 轻量级静态分析 | 语法级、部分语义级 | 本地提交前快速扫描 |
| PC-lint | 企业级深度检查 | 语义级、数据流分析 | CI 流水线、发布前全量检查 |
| SonarQube | 质量门禁与趋势管理 | 综合（规则+复杂度+覆盖率） | 长期质量监控、团队考核 |
我个人习惯是：Cppcheck 跑本地，PC-lint 跑 CI，SonarQube 跑 nightly。这样既不耽误开发效率，又能守住质量底线。
3.2 Cppcheck 安装与基础配置
Cppcheck 最简单，几乎开箱即用。但别小看它，配合好参数，能抓出不少低级错误。
3.2.1 安装
# Ubuntu / Debian
sudo apt-get install cppcheck
# macOS
brew install cppcheck
# Windows
# 从官网下载安装包，或通过 vcpkg / chocolatey 安装
装完验证一下：
cppcheck --version
# 输出类似：Cppcheck 2.12
3.2.2 针对 MISRA C 的配置
Cppcheck 原生支持 MISRA C 2012 规则集，但需要显式启用。我记得第一次用的时候没加参数，结果一条 MISRA 规则都没触发——白忙活半天。
cppcheck --enable=all \
--suppress=missingIncludeSystem \
--std=c99 \
--addon=misra.py \
--suppress=misra-c2012-20.7 \
./src/
小技巧：--addon=misra.py 会加载 Cppcheck 安装目录下的 MISRA 规则脚本。如果找不到，检查一下 /usr/share/cppcheck/addons/misra.py 是否存在。
实际项目中，我一般会写个 .cppcheck 配置文件，把常用参数固化下来：
# .cppcheck 配置文件示例
enable=all
suppress=missingIncludeSystem
suppress=unmatchedSuppression
std=c99
addon=misra.py
suppress=misra-c2012-20.7
suppress=misra-c2012-21.6
然后直接跑：
cppcheck --project=build/compile_commands.json
用 compile_commands.json 的好处是，Cppcheck 能自动识别所有源文件和包含路径，不用手动一个个指定。
3.3 PC-lint 安装与配置
PC-lint 是静态分析里的老大哥，功能强大，但配置也复杂。说实话，我第一次配的时候折腾了整整一天。
3.3.1 安装步骤
- 从 Vector Informatik 官网下载 PC-lint Plus 安装包
- 运行安装程序，选择安装路径（建议不要有空格和中文）
- 配置环境变量
LINT指向安装目录 - 验证安装：
lint-nt --version
注意：PC-lint 是商业软件，需要 license。如果公司没有采购，可以用评估版先熟悉流程。但生产环境一定要买正版。
3.3.2 配置 MISRA C 规则集
PC-lint 通过 .lnt 文件管理配置。MISRA C 的规则集以 au-misra-c3.lnt 这样的文件提供。
// std.lnt - 基础配置
// 包含标准库头文件路径
-i"C:\Program Files\PC-lint\include"
// 包含 MISRA C 2012 规则集
-au-misra-c3.lnt
// 抑制一些不适用于项目的规则
-esym(1234, misra_c_2012_rule_20_7)
然后创建一个项目配置文件：
// project.lnt
// 包含基础配置
-std.lnt
// 源文件列表
src/main.c
src/uart.c
src/timer.c
// 包含路径
-Isrc/include
-Ithird_party/freertos/include
运行命令：
lint-nt project.lnt
输出会直接显示在终端，也可以重定向到文件：
lint-nt project.lnt > lint_report.txt
3.3.3 与 CI 集成
PC-lint 返回非零退出码表示有错误。在 CI 脚本里可以这样用：
#!/bin/bash
# lint_check.sh
lint-nt project.lnt > lint_report.txt
if [ $? -ne 0 ]; then
echo "PC-lint 检查发现违规，请查看 lint_report.txt"
exit 1
fi
echo "PC-lint 检查通过"
我曾经在一个项目里，PC-lint 一次性报出 2000+ 条警告。别慌，先分类：哪些是真正的 MISRA 违规，哪些是误报，哪些是第三方库的问题。然后逐步清理，别想一口吃成胖子。
3.4 SonarQube 安装与配置
SonarQube 是质量管理的终点站。它不直接跑静态分析，而是把 Cppcheck、PC-lint 的结果汇总展示。
3.4.1 安装（Docker 方式，推荐）
# 拉取 SonarQube 镜像
docker pull sonarqube:lts-community
# 启动容器
docker run -d --name sonarqube \
-p 9000:9000 \
-e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true \
sonarqube:lts-community
启动后访问 http://localhost:9000，默认账号密码都是 admin。
生产环境建议：用 Docker Compose 部署，挂载持久化卷，配置 PostgreSQL 数据库。单机模式重启后数据会丢，别问我怎么知道的。
3.4.2 安装 C/C++ 分析插件
SonarQube 社区版默认不支持 C/C++。需要安装 SonarCFamily 插件（商业版）或使用 sonar-cxx 社区插件。
社区插件安装步骤：
- 下载
sonar-cxx-plugin-2.1.x.jar - 放到
$SONARQUBE_HOME/extensions/plugins/ - 重启 SonarQube：
docker restart sonarqube
3.4.3 创建项目并配置质量门
在 SonarQube Web 界面中：
- 点击「Create Project」→ 输入项目名称和 key
- 生成 token（用于 CI 认证）
- 选择分析方式：使用
sonar-scanner
在项目根目录创建 sonar-project.properties：
sonar.projectKey=my_misra_project
sonar.projectName=MISRA C Project
sonar.sourceEncoding=UTF-8
sonar.sources=./src
sonar.exclusions=**/third_party/**
sonar.cxx.cppcheck.reportPath=build/cppcheck_report.xml
sonar.cxx.pclint.reportPath=build/pclint_report.xml
然后运行扫描：
sonar-scanner -Dsonar.login=your_token
3.5 工具链集成架构
下面这张图展示了三个工具在开发流程中的协作关系：
3.6 常见问题与避坑指南
我曾经踩过的坑：
- Cppcheck 误报太多：别急着关规则。先确认是不是代码写法不规范。比如 MISRA 10.1（隐式整型转换），很多时候是没加显式 cast。
- PC-lint 跑得太慢：全量扫描一个中型项目可能要 30 分钟。解决方案：增量扫描，只检查修改过的文件。
- SonarQube 磁盘爆满：默认不限制分析历史数据。设置
sonar.db.cleanup.hours=168（保留 7 天）可以省不少空间。
我的建议：刚开始别追求完美。先让 Cppcheck 跑起来，每天修 10 条警告。两周后你会发现代码质量明显提升。然后再上 PC-lint 和 SonarQube，循序渐进。