如何将Clang Static Analyzer集成到构建流程并导出SARIF格式结果

因为scan-build确实不支持SARIF输出，你可以通过两种更直接的方式实现需求：直接调用Clang的静态分析参数，或者用clang-tidy（它整合了Clang Static Analyzer的检查器，且原生支持SARIF）。以下是具体实现方案和示例：

一、直接用Clang Static Analyzer生成SARIF #

Clang本身支持通过命令行参数启用静态分析并输出SARIF格式结果，无需依赖scan-build。

1. 单文件分析示例 #

针对单个源文件，执行以下命令即可生成SARIF结果：

# C文件
clang --analyze -Xanalyzer -analyzer-output=sarif -o single-file-result.sarif your-code.c -- -std=c11 -I./include
# C++文件
clang++ --analyze -Xanalyzer -analyzer-output=sarif -o single-file-result.sarif your-code.cpp -- -std=c++17 -I./include

参数说明：

• --analyze：启用静态分析模式（不生成可执行文件）
• -Xanalyzer -analyzer-output=sarif：告诉分析器输出SARIF格式
• --后面的内容是正常的编译参数（标准版本、头文件路径等），必须传递以保证分析环境和实际编译一致

2. 集成到Makefile #

如果项目用Makefile构建，可以添加专属的分析目标，或者把分析步骤嵌入编译流程：

方式1：添加独立分析目标

# 定义项目的编译参数
CC = clang
CFLAGS = -std=c11 -I./include
SRCS = src/file1.c src/file2.c

# 原编译规则
%.o: %.c
    $(CC) $(CFLAGS) -c $< -o $@

# 静态分析目标，生成合并的SARIF结果
analyze:
    $(CC) --analyze -Xanalyzer -analyzer-output=sarif $(CFLAGS) $(SRCS) -o combined-results.sarif

运行make analyze即可触发全量分析，生成合并的SARIF文件。

方式2：编译时同步分析

如果需要每次编译源文件时都同步分析，修改编译规则：

%.o: %.c
    $(CC) $(CFLAGS) -c $< -o $@
    # 为当前源文件生成单独的SARIF结果
    $(CC) --analyze -Xanalyzer -analyzer-output=sarif $(CFLAGS) $< -o $(basename $<).sarif

这样每个源文件编译后，都会在对应目录生成同名的SARIF分析文件。

二、用clang-tidy集成分析并导出SARIF #

clang-tidy是LLVM提供的代码检查工具，默认整合了所有Clang Static Analyzer的检查器，并且原生支持SARIF输出，更适合复杂项目（比如CMake构建的项目）。

1. 基础命令示例 #

# 分析单个文件，输出SARIF到指定文件
clang-tidy -checks='clang-analyzer-*' -output-format=sarif your-code.cpp -- -std=c++17 -I./include > tidy-results.sarif

# 或者导出带修复建议的SARIF文件
clang-tidy -checks='clang-analyzer-*' -export-fixes=tidy-fixes.sarif your-code.cpp -- -std=c++17 -I./include

参数说明：

• -checks='clang-analyzer-*'：启用所有Clang Static Analyzer的检查器，也可以指定单个检查器（比如clang-analyzer-core.NullDereference）
• -output-format=sarif：指定输出格式为SARIF
• --后面的编译参数必须和项目实际编译一致，避免分析报错

2. 集成到CMake项目 #

如果项目用CMake构建，可以通过配置CMAKE_CXX_CLANG_TIDY变量，让构建过程自动触发clang-tidy分析并生成SARIF：

# 在CMakeLists.txt中添加以下配置
set(CMAKE_CXX_CLANG_TIDY 
    "clang-tidy;
    -checks=clang-analyzer-*;
    -output-format=sarif;
    -export-fixes=clang-tidy-combined.sarif"
)

之后运行cmake --build .时，clang-tidy会自动分析每个源文件，并将所有结果合并到指定的SARIF文件中。

三、实用技巧与注意事项 #

• 版本要求：确保使用LLVM 12及以上版本，SARIF输出的支持在这个版本后才稳定。
• 合并多文件结果：如果生成了多个SARIF文件，可以用LLVM自带的sarif-merge工具合并：

sarif-merge src/file1.sarif src/file2.sarif -o all-results.sarif

• 过滤检查器：如果不需要所有检查器，可通过-Xanalyzer -analyzer-disable-checker=checker-name（直接用clang时）或者-checks=-clang-analyzer-xxx（clang-tidy时）禁用指定检查器。
• 性能优化：静态分析会增加构建时间，建议在CI/CD流程中单独触发分析，而非本地开发构建时默认开启。

内容的提问来源于stack exchange，提问作者DyadyaMops