macOS本地代码审计缓存环境的核心是构建可复用、可加速、可离线验证的静态分析基础设施，包含工具依赖缓存（如规则库、解析器）和扫描中间产物（AST、符号表）复用两层逻辑。
在 macos 中配置支持本地代码审计的外部静态扫描缓存环境，核心不是“缓存扫描结果”，而是搭建一个可复用、可加速、可离线验证的静态分析基础设施。它包含两层缓存逻辑：一是工具运行时依赖（如规则库、语言解析器、第三方库签名）的本地缓存；二是扫描过程产生的中间产物（ast、符号表、调用图）的复用机制。以下聚焦实用、可落地的关键步骤。
安装并固化静态扫描工具链
避免每次扫描都重新下载规则或解析器：
-
TscanCode：下载 macOS 专用二进制（
release/mac/tscancode），放在/usr/local/bin/并设为可执行；其内置规则默认加载，无需网络即可运行 -
SonarScanner：使用 Homebrew 安装（
brew install sonar-scanner），它会自动缓存插件包到~/.sonar/cache/；首次扫描后，后续相同语言项目将复用已下载的分析器（如sonar-java-plugin） - 统一管理 Java 环境：SonarQube Server 和 Scanner 均需 JDK 11，通过
brew install openjdk@11安装，并用export JAVA_HOME=$(/opt/homebrew/opt/openjdk@11/bin/java -XshowSettings:properties -version 2>&1 > /dev/null | grep "java.home" | cut -d "=" -f2 | tr -d " ")固定路径
启用本地规则与插件缓存目录
强制工具复用本地已有资源，减少重复拉取：
macOS Automator Services
下载
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
- 对 SonarScanner，在项目根目录创建
sonar-project.properties，添加：sonar.cache.base=/Users/yourname/.sonar/local-cache
该路径将存储语言分析器、字节码解析缓存、第三方依赖指纹等 - 对 TscanCode，可通过
-D指定自定义配置路径：./tscancode -D ./cfg --rule-dir ./rules samples/，把常用规则集（如cpp.cfg,lua.cfg）提前检出并版本化 - 禁用在线更新：在
sonar-scanner启动脚本中加入-Dsonar.updatecenter.enabled=false，防止后台静默检查插件更新
构建可缓存的扫描输入结构
让扫描器能识别“什么变了、什么没变”，从而跳过未修改文件的重复分析：
- 确保源码使用哈希化构建产物命名（如
main.a1b2c3.js），TscanCode 和 SonarScanner 均会基于文件内容哈希判断是否跳过分析 - 排除临时/生成文件：在
.sonarqube/exclusions.txt或tscancode的--file-list中显式过滤**/build/**、**/node_modules/**等路径 - 启用增量模式（若支持）：SonarScanner 支持
sonar.scanner.skip=true配合 Git 差异检测；TscanCode 虽无原生增量，但可通过find . -name "*.cpp" -newer last_scan_time -print0 | xargs -0 ./tscancode实现简易按修改时间筛选
验证缓存是否实际生效
不靠感觉，用命令确认缓存路径和命中行为：
- 查 SonarScanner 缓存目录大小变化：
du -sh ~/.sonar/local-cache && sleep 5 && du -sh ~/.sonar/local-cache，二次扫描后增长极小即说明复用成功 - 运行 TscanCode 加详细日志：
./tscancode -v --rule-dir ./rules samples/cpp/memleak.cpp 2>&1 | grep -i "cache\|load"，观察是否提示“loaded from cache”或跳过已解析文件 - 检查网络请求：开启
tcpdump -i lo0 port 443后执行扫描，若全程无 TLS 握手流量，基本可判定未触发远程规则拉取
