在 macos 上配置本地代码审计静态扫描引擎，首选已集成于 xcode 的 clang static analyzer，启用后可自动或手动触发分析并生成 html 报告；多语言项目可补充 tscancode 或 sonarscanner（需本地 docker 运行 sonarqube）。
在 macos 上配置本地代码审计的静态扫描引擎，核心是选对工具、装好依赖、打通项目集成。不需要部署整套服务器，重点是让分析能力跑在本地开发流中，即时反馈问题。
选一个轻量但够用的扫描引擎
Clang Static Analyzer 是最直接的选择——它已随 Xcode 自动安装，无需额外下载，专为 C/C++/Objective-C 项目设计，路径敏感、误报率低，且能生成带执行路径的 HTML 报告。如果项目含 Java 或 Python，可补充 TscanCode（腾讯开源，支持 C/C++/C#/Lua）或 SonarScanner（需配 SonarQube 服务端，适合进阶）。对多数 macOS 原生开发者，Clang 就够用，零额外依赖。
确认并激活 Clang 分析能力
Xcode 默认不开启深度静态分析，需手动启用：
- 打开项目 → Target → Build Settings，搜索 Static Analyzer
- 将 Run Static Analyzer 设为 Yes
- 可选增强：在 Other C Flags 中添加 -Xanalyzer -analyzer-checker=core,unix,security，启用基础+Unix系统调用+安全类检查器
保存后，Command + B 编译时即自动运行；也可在菜单栏选择 Product → Analyze（快捷键 Shift + Command + B）手动触发。
命令行方式快速验证与批量扫描
适合 CI 脚本或非 Xcode 项目（如纯 CMake 工程）：
- 确保终端能调用 clang++ 和 scan-build（Xcode 命令行工具已安装即可）
- 进入项目根目录，运行：
scan-build --use-cc=clang++ -o ./report make（若用 make）
或
scan-build --use-cc=clang++ -o ./report xcodebuild -project YourApp.xcodeproj - 完成后打开 ./report/index.html 查看交互式报告，含问题位置、变量状态和完整路径回溯
补充 Java/Python 等语言的本地扫描（按需）
若项目混合多语言，推荐轻量组合：
- TscanCode：克隆 GitHub 仓库，make 编译后直接运行 ./tscancode src/，输出简洁文本报告，无服务依赖
-
SonarScanner：仅需 JDK 17（官网下载），解压后配置 SONAR_SCANNER_HOME，再执行 sonar-scanner -Dsonar.projectKey=myapp -Dsonar.sources=. -Dsonar.host.url=http://localhost:9000 ——前提是已用 Docker 启动 SonarQube：
docker run -d -p 9000:9000 -p 9001:9001 sonarqube:10.2.1-community
整个过程不涉及远程服务或账户注册，所有分析都在本地完成，报告实时生成，适合作为日常开发的质量守门员。
