sonarqube 正确解析 c++ 项目需通过 cmake 生成 compile_commands.json 并在 sonar-scanner 中用 sonar.cfamily.compile-commands 显式指定路径，否则扫描结果为空；同时需配置 includedirectories 避免 stl 误报。
如何让 SonarQube 正确解析 C++ 项目
SonarQube 本身不直接编译 C++，它依赖外部构建过程生成的编译数据库（compile_commands.json）或利用 sonar-cfamily 插件配合构建工具链。没这一步，扫描结果基本为空或全是“未解析”。
实操建议：
- 用 CMake 生成
compile_commands.json：在项目根目录执行cmake -DCMAKE_EXPORT_COMPILE_COMMANDS=ON .，确保该文件出现在构建目录（如build/compile_commands.json） - 运行
sonar-scanner时显式指定路径：sonar.cfamily.compile-commands配置项必须指向该 JSON 文件，例如：sonar.cfamily.compile-commands=build/compile_commands.json - 避免用
make或ninja直接构建后手动拼命令——SonarQube 不识别隐式规则，也不会推导头文件包含路径 - 如果项目含多个 build 目录（如 debug/release），每次扫描前确认 JSON 文件对应的是你真正想检查的配置（比如是否启用了
-DDEBUG）
Coverity 扫描失败常见报错及绕过方法
coverity-build 报 no compilation commands found 或 unable to determine compiler 是最常卡住的地方，根本原因不是 Coverity 安装问题，而是它没捕获到实际调用的编译器命令。
实操建议：
- 不要直接跑
make；改用cov-build --dir cov-int make（注意--dir后面是目录名，不是路径），且该命令必须在 clean 状态下首次运行 - 若用 CMake + Ninja，先
cmake -G Ninja ...，再cov-build --dir cov-int ninja；Coverity 对 Ninja 支持比 Make 更稳定 - 遇到
cc1plus: error: unrecognized command line option：通常是编译器版本和 Coverity 内置 parser 不匹配，临时降级使用g++-9或在cov-build后加--compiler-gcc显式指定 - 扫描后
cov-analyze报no defects found？检查cov-int目录下是否有intermediate/子目录和非空的*.cpp.o文件——没有就说明构建根本没被拦截
sonar-cfamily 和 Coverity 检查逻辑差异在哪
两者都不是简单做词法扫描。sonar-cfamily 基于 Clang AST 构建轻量级语义模型，适合 CI 快速反馈；Coverity 则做全路径符号执行，能发现更深层的资源泄漏、空指针跨函数传播等问题，但耗时高、内存大。
实操建议：
- CI 流水线里优先用 SonarQube：启用
sonar.cfamily.gcc.includeDirectories补充系统头路径（如/usr/include/c++/11），否则大量 STL 相关告警会误报 - Coverity 适合 nightly 全量扫描：用
cov-analyze --all --enable-checker ALL，但要关掉UNINIT类低置信度检查，否则噪声太多 - 同一段代码，SonarQube 可能标出
resource leak在fopen处，Coverity 却指出是fclose被跳过——这不是冲突，是分析深度不同导致的关注点偏移 - 两者都对模板实例化支持有限；遇到大量
std::vector<t></t>相关假阳性，优先检查是否漏了-I路径或模板定义没被索引到
本地调试扫描失败时该看哪几个文件
别急着重装工具链。90% 的问题，答案就藏在扫描器自己生成的日志和中间产物里。
实操建议：
- SonarQube：打开
sonar-scanner的-X调试模式，重点搜CFamilySensor和parse关键字，看它是否成功加载了compile_commands.json，以及是否抱怨某个源文件“no language detected” - Coverity：
cov-int目录下必看build-log.txt（记录所有 intercepted 编译命令）和analysis-log.txt（显示哪些文件进了分析、哪些被跳过及原因） - 如果某 .cpp 文件始终不进扫描范围：检查它是否被 CMake 的
add_executable或add_library显式列出；Coverity 和 SonarQube 都不会处理“存在但没参与构建”的孤立文件 - 路径含中文或空格？Coverity 会静默失败，SonarQube 可能报
Invalid argument——统一用英文路径，这是最省时间的前置条件
真正麻烦的永远不是工具装不上，而是构建过程和扫描器之间的“语义断层”：CMake 怎么传宏、交叉编译怎么配 sysroot、第三方库头文件怎么暴露……这些细节不会报错，但会让 80% 的缺陷检测失效。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
