软件测试学习笔记丨静态测试与代码审计SonarQube

本文转自测试人社区，原文链接：

一，SonarQube 平台搭建1.1，介绍

Sonar 是一个用于代码质量管理的开放平台。通过插件机制，Sonar 可以集成不同的测试工具、代码分析工具，以及持续集成工具。与持续集成工具（例如 Hudson/Jenkins 等）不同，Sonar 并不是简单地把不同的代码检查工具结果（例如 FindBugs，PMD 等）直接显示在 Web 页面上，而是通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。

SonarQube(分析器)：SonarQube是Sonar生态系统的核心组件，是一个开源的代码质量管理平台。1.2， sonarqube 技术架构

1.3，Windows环境下载下载地址： www.sonarsource.com/products/sonarqube1.4， Linux环境部署

（1）创建容器网络： docker network create sonarqube

（2）创建数据库容器实例：

docker run -d --name sonarqube_postgres --network sonarqube -e POSTGRES_USER=sonarqube -e POSTGRES_PASSWORD=sonarqube -e PGDATA=/var/lib/postgresql/data/pgdata -v $PWD/postgresql_data:/var/lib/postgresql/data postgres

（3）创建sonarqube容器实例，可以通过-Xms4g -Xmx4g增加下ES的堆内存大小

mac环境需要加 -e SONAR_SEARCH_JAVAADDITIONALOPTS=“-Dbootstrap.system_call_filter=false”docker run -d --name sonarqube_hogwarts -p 9000:9000 -p 9092:9092 --network sonarqube -e SONARQUBE_JDBC_USERNAME=sonarqube -e SONARQUBE_JDBC_PASSWORD=sonarqube -e SONARQUBE_JDBC_URL="jdbc:postgresql://sonarqube_postgres/sonarqube" -e SONAR_SEARCH_JAVAADDITIONALOPTS="-Xms2g -Xmx2g" -e SONARQUBE_WEB_JVM_OPTS="-Xms1g -Xmx1g" -v $PWD/sonarqube_data:/opt/sonarqube/data -v $PWD/sonarqube_extensions:/opt/sonarqube/extensions -v $PWD/sonarqube_logs:/opt/sonarqube/logs sonarqube

（4）个别平台存在的 CONFIG_SECCOMP_FILTER 问题，解决方法如下：

docker run -d --name sonarqube_hogwarts --platform linux/x86_64 -p 9000:9000 -p 9092:9092 --network sonarqube --user $(id -u):$(id -g) -e SONARQUBE_JDBC_USERNAME=sonarqube -e SONARQUBE_JDBC_PASSWORD=sonarqube -e SONARQUBE_JDBC_URL="jdbc:postgresql://sonarqube_postgres/sonarqube" -e SONAR_SEARCH_JAVAADDITIONALOPTS="-Dbootstrap.system_call_filter=false -Xms2g -Xmx2g" -e SONARQUBE_WEB_JVM_OPTS="-Xms2g -Xmx2g" --ulimit nofile=524288:524288 -v $PWD/sonarqube_data:/opt/sonarqube/data -v $PWD/sonarqube_extensions:/opt/sonarqube/extensions -v $PWD/sonarqube_logs:/opt/sonarqube/logs sonarqube

（5）打开登陆页面

地址： http://127.0.0.1:9000/默认账号密码： admin/admin

（6）环境配置

划分组与用户

生成 token

环境变量设置为了方便命令复用，后面命令中可变内容使用环境变量来表示 $SQ_HOSTSQ_HOST=http://127.0.0.1:9000SQ_TOKEN=你自己sonarqube环境的TOKENSQ_HOST=https://sonarqube.stuq.ceshiren.comSQ_TOKEN=a22c79622b232ffb002053a06b5cb3140da87b41二，SonarScanner 使用2.1 工具下载SonarScanner（扫描器）：用于将代码提交到SnaorQube进行分析的工具。

下载成功后，检查是否配置成功sonar-scanner -h

三， sonarqube maven 项目分析3.1 maven 全局配置<settings> <pluginGroups> <pluginGroup>org.sonarsource.scanner.maven</pluginGroup> </pluginGroups> <profiles> <profile> <id>sonar</id> <activation> <activeByDefault>true</activeByDefault> </activation> <properties>  <sonar.host.url> http://myserver:9000 </sonar.host.url> </properties> </profile> </profiles></settings>3.2 使用特定版本 scanner maven 插件mvn sonar:sonarmvn org.sonarsource.scanner.maven:sonar-maven-plugin:3.7.0.1746:sonarmvn org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar3.3 代码分析基本命令#编译后直接分析mvn clean compile sonar:sonar#执行单元测试后分析，用于收集单元测试与单测覆盖率mvn clean test sonar:sonar#执行集成测试后分析，用于收集集成测试与集成测试覆盖率mvn clean verify sonar:sonar3.4 maven 单模块项目代码分析使用命令：cd maven-basicmvn clean verify \ org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar \ -Dsonar.host.url=$SQ_HOST \ -Dsonar.login=$SQ_TOKEN

3.5 maven 多模块项目代码分析使用命令：cd maven-multimodulemvn clean verify \ org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar \ -Dsonar.host.url=$SQ_HOST \ -Dsonar.login=$SQ_TOKEN3.6 sonarqube 多语言代码分析使用命令：cd maven-multilingualmvn clean verify \ org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar \ -Dsonar.host.url=$SQ_HOST \ -Dsonar.login=$SQ_TOKEN3.7 spring boot 项目代码分析使用命令：mvn clean compile \ org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar \ -Dsonar.host.url=$SQ_HOST \ -Dsonar.login=$SQ_TOKEN3.8 电商项目代码分析使用命令：mvn clean verify \ org.sonarsource.scanner.maven:sonar-maven-plugin:LATEST:sonar \ -Dsonar.host.url=$SQ_HOST \ -Dsonar.login=$SQ_TOKEN四， sonarqube gradle项目代码分析4.1 插件与配置# build.gradle文件plugins { id "jacoco" id "java" id "application" id "org.sonarqube" version "3.3" //version号需要替换成最新的版本号}sonarqube { properties { property "sonar.host.url", "https://sonarqube.hogwarts.ceshiren.com" property "sonar.login", "TOKEN" property "sonar.sourceEncoding", "UTF-8" }}# gradle.properties文件（优先配置上面的文件）systemProp.sonar.host.url=http://localhost:90004.2 gradle代码分析命令#多任务执行./gradlew clean assemble sonarqube -Dsonar.host.url=$SQ_HOST -Dsonar.login=$SQ_TOKEN#也可单独执行gradle sonarqube -Dsonar.host.url=$SQ_HOST -Dsonar.login=$SQ_TOKEN#构建程序并执行测试./gradlew clean build sonarqube -Dsonar.host.url=$SQ_HOST -Dsonar.login=$SQ_TOKEN#结合覆盖率的代码分析cd gradle-nultimodule-coverage （进入该项目路径）./gradlew clean build codeCoverageReport sonarqube -Dsonar.host.url=$SQ_HOST -Dsonar.login=$SQ_TOKEN五， sonarqube api使用5.1 价值