七、集成Sonar Qube
1. SonarQube介绍
Sonar Qube是一个开源的代码分析平台，支持Java、Python、PHP、JavaScript、CSS等25种以上的语言，可以检测出重复代码、代码漏洞、代码规范和安全性漏洞的问题。
Sonar Qube可以与多种软件整合进行代码扫描，比如Maven，Gradle，Git，Jenkins等，并且会将代码检测结果推送回Sonar Qube并且在系统提供的UI界面上显示出来
2. Sonar Qube安装
sonarqube官网：https://www.sonarsource.com/products/sonarqube/downloads/
Sonar Qube在7.9版本中已经放弃了对MySQL的支持，并且建议在商业环境中采用PostgreSQL，那么
安装Sonar Qube时需要依赖PostgreSQL。并且这里会安装Sonar Qube的长期支持版本9.9
- 拉取镜像
docker pull postgres
docker pull sonarqube
docker pull sonarqube:8.9.3-community
- 编写docker-compose.yml
version: "3.1"
services:
db:
image: postgres
container_name: db
ports:
- 5432:5432
networks:
- sonarnet
environment:
POSTGRES_USER: sonar
POSTGRES_PASSWORD: sonar
sonarqube:
image: sonarqube
container_name: sonarqube
depends_on:
- db
ports:
- "9000:9000"
networks:
- sonarnet
environment:
SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonar
SONAR_JDBC_USERNAME: sonar
SONAR_JDBC_PASSWORD: sonar
networks:
sonarnet:
driver: bridge
version: "3.1"
services:
db:
image: postgres
container_name: db
ports:
- 5432:5432
networks:
- sonarnet
environment:
POSTGRES_USER: sonar
POSTGRES_PASSWORD: sonar
sonarqube:
image: sonarqube:8.9.3-community
container_name: sonarqube
depends_on:
- db
ports:
- "9000:9000"
networks:
- sonarnet
environment:
SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonar
SONAR_JDBC_USERNAME: sonar
SONAR_JDBC_PASSWORD: sonar
networks:
sonarnet:
driver: bridge
- 运行容器
docker-compose up -d
# 查看日志
docker-compose logs -f
查看日志发现报错了，要修改最大虚拟内存
vim /etc/sysctl.conf
# 添加下面的配置
vm.max_map_count=262144
sysctl -p
#重新启动容器
docker-compose up -d
启动完成后，访问页面
http://192.168.201.111:9000/
登陆进去后安装中文插件，安装后需要重启
4. SonarQube使用
- Maven的方式
- 在maven的settings.xml中添加下面配置
<profile>
<id>sonar</id>
<activation>
<activeByDefault>true</activeByDefault>
</activation>
<properties>
<sonar.login>admin</sonar.login>
<sonar.password>password</sonar.password>
<sonar.host.url>http://192.168.201.111:9000</sonar.host.url>
</properties>
</profile>
-
在代码位置执行命令：mvn sonar:sonar，然后进入sonarqube页面，进入项目已经有代码扫描结果了
-
SonarScanner的方式 -
下载并安装
下载：https://docs.sonarsource.com/sonarqube/latest/analyzing-source-code/scanners/sonarscanner/
下载完成后上传的我们的服务器上，然后解压。
安装解压命令
yum -y install unzip
unzip sonar-scanner-cli-6.1.0.4477-linux-x64.zip
# sonarscanner移动到jenkins挂载目录下
cd /usr/local/docker/jenkins_docker/data/
mv ~/sonar-scanner ./
- 修改配置
cd sonar-scanner/conf/
vim sonar-scanner.properties
# 查看sonarscanner的命令
cd /usr/local/docker/jenkins_docker/data/sonar-scanner/bin
进入到要检测的代码的路径下，执行代码检测命令
# 在项目所在目录执行以下命令
/usr/local/docker/jenkins_docker/data/sonar-scanner/bin/sonar-scanner -Dsonar.sources=./ -Dsonar.projectname=linux-test -Dsonar.token=squ_162b811d946f00bfc5299629ce63f0c5b88e8813 -Dsonar.projectKey=linux-test -Dsonar.java.binaries=./target/
/usr/local/docker/jenkins_docker/data/sonar-scanner/bin/sonar-scanner -Dsonar.sources=./ -Dsonar.projectname=linux-test -Dsonar.login=65a1741c6f4191105f68096278fe77adaa1d15a1 -Dsonar.projectKey=linux-test -Dsonar.java.binaries=./target/
Ps：主要查看我的sonar-scanner执行命令的位置， 在项目所在目录执行以下命令
5. Jenkins集成Sonar Qube
- 首先要到Jenkins插件管理页面安装sonar qube插件，安装插件的方法之前已经说过了
- 在系统管理页面配置Sonar Qube，设置名称，地址和密码，密码可能一上来无法点击，可以先填写完成名称地址保存后，在重新进入页面就可以填写了。
设置密码，这里可以选择用户名，密码的方式，也可以使用token的方式，填写完成保存即可。
- 想到全局配置中配置Sonar Scanner
4. 在Jenkins的任务中添加配置项，在构建代码成功之后
选择执行 SonarQube Scanner
添加下面的配置，应用保存
sonar.sources=./
sonar.projectname=${JOB_NAME}
sonar.login=ec31c5247b2be2d80a4797da0c13fb6c413a0fa7
sonar.projectKey=${JOB_NAME}
sonar.java.binaries=target
重新构建查看日志，发现有个报错
解决方案也很简单，因为我们之前测试过，生成了.scannerwork/文件夹，直接到项目代码文件夹删除即可。
[root@clear ~]# cd /usr/local/docker/jenkins_docker/data/workspace/test/
[root@clear test]# ls -a
[root@clear test]# rm -rf .scannerwork/
删除之后，再次执行构建，查看日志，构建成功了，然后原有了扫描记录。
