1.SonarQube实现自动化代码扫描
2.平台代码检查工具:sonarLint+sonarqube安装教程
3.Sonar 代码检验平台搭建
4.问题发现早，描源码处理代价小｜测试左移——静态代码扫描SonarQube
5.源代码审计工具之：SonarQube
6.SonarQute安装与多分支扫描分析插件安装

SonarQube实现自动化代码扫描

       SonarQube官网地址：sonarqube.org/

       SonarQube是描源码用于实现自动化代码扫描的工具，安装时在Centos7环境上需注意内存至少3G，描源码否则ES可能运行异常。描源码

       Centos7环境下的描源码SonarScanner安装后，执行扫描可获得结果。描源码c 的vector源码

       集成FindBugs插件于SonarQube中，描源码有多种方式，描源码其中一种是描源码确保Java项目在调用SonarScanner进行扫描前已打包。配置FindBugs执行扫描，描源码通过质量配置页面进行，描源码可选择使用FindBugs Security Audit进行安全代码审计。描源码不加载FindBugs插件时，描源码可取消其规则设置。描源码

       SonarQube集成DependencyCheck插件与FindBugs一致，描源码但在使用时需注意项目的编译情况，确保对jar包进行扫描。

       对比SonarQube自带规则、DependencyCheck和FindBugs Security Audit，发现SonarQube自带规则对代码Bug检查效果最佳，而DependencyCheck与FindBugs Security Audit在代码安全性检查方面表现更优。

       SonarQube可集成至CI&CD流程，如通过Gitlab-CI集成SonarScanner，需注意权限问题。

       CI&CD中集成代码扫描时，考虑到依赖包扫描耗时，推荐在发布到测试或预生产环境时进行。定期更新漏洞库，选择在周末夜间执行，周期不超过7天，确保维护成本可控。代码扫描结果可直接通过构建关系映射通知安全或研发人员，初步筛查后，确认漏洞危害性，再提交至企业漏洞管理平台。

       在项目管理中，将SonarQube项目属性设为私有，避免信息泄露。在使用SonarScanner时，超量学指标源码需注意项目名称命名，避免特殊字符导致Gitlab-CI pipeline执行失败。可通过CI_COMMIT_REF_SLUG变量解决此类问题。

       通过上述方法，可实现SonarQube在自动化代码扫描过程中的高效管理与优化，确保代码质量和安全性。

平台代码检查工具:sonarLint+sonarqube安装教程

       加强对代码质量的管控要求，不允许新增代码部分出现严重、重要、主要等sonar扫描问题。大家按以下文档安装开发工具对应的代码检测插件，请务必重视并执行。这里只介绍前端开发VSCode和后端开发Eclipse两种编译器安装sonarLint+sonarqube的方法，其它编译器的安装步骤相同。

       在VSCode中安装sonarLint插件：

       首先打开vscode插件面板，在搜索栏输入“sonarlint”并点击安装。注意，如果在公司内网环境下可能无法直接安装，需要通过下载vsix文件，然后本地选择此vsix文件进行安装。

       安装完成后，配置sonarLint插件，查看其规则并在代码编辑时自动进行审查。打开js、vue等文件，自动在“Problems”中显示审查存在的问题，并在问题处显示审查规则及订正方法。

       在Eclipse中安装sonarLint插件：

       对于Eclipse，可以在线安装或离线安装。在线安装时，点击Eclipse工具栏的“Help”->“Eclipse MarketPlace”，搜索“sonar”找到并安装SonarLint 5.5.0.插件。离线安装时，下载Eclipse MarketPlace提供的离线安装包，然后通过Eclipse菜单栏中的“Help”->“InstallNew Software”完成安装。

       安装成功后，绑定SonarQube服务并进行项目代码扫描。通过设置绑定SonarQube项目，高清源码图片推荐可以使用SonarQube的代码规范进行审查。在扫描结果中，SonarLint会自动显示重复代码、潜在bug、代码规范和安全性漏洞等问题。

       使用SonarLint进行代码审查时，可以手动审查文件或让其自动审查。手动审查时，右键审查文件->“SonarLint”->“Analyze”分析文件。双击审查结果定位到具体被审查内容的位置，并查看针对单个问题的分析及改进建议。

       在Idea中安装sonarLint插件：

       安装步骤与VSCode类似，打开Settings->Plugins->BrowseRepositories搜索并安装sonarLint插件。安装完成后，重启IDE并关联SonarQube服务器上的项目以共享服务器上的代码规则。

       在Idea中进行代码审查时，SonarLint会自动或手动审查文件，并显示审查结果。在审查结果中，可以查看针对单个问题的分析及改进建议，修改代码后审查结果会自动刷新。

       掌握这些工具的使用，有助于提升代码质量，减少潜在错误。希望本文内容对您有所帮助，敬请关注下期分享。在代码开发的旅程中，不断学习与进步，您会发现更多的未知与挑战。祝您代码之旅愉快！

Sonar 代码检验平台搭建

       搭建 Sonar 代码检验平台流程清晰，以下步骤详尽：

       首先，确认现有版本为 sonarqube-8.9..，建议使用 JDK 或更高版本。配置 JDK 需要从官方 Oracle 下载地址获取最新 JDK 版本。

       配置 PostgreSQL 数据库时，需安装并增加用户。对 pg_hba.conf 配置文件进行修改，点击阅读更多源码通过 docker cp 命令复制至本地。同时，调整 postgresql.conf 文件以确保远程访问可用，参考相关博客教程。

       启动 Sonar 服务前，需下载并安装 SonarQube 版本。在 conf/sonar.properties 和 conf/wrapper.conf 文件中增加所需配置，启动服务后，通过网页访问查看。

       若遇到 Elasticsearch 异常退出，编辑 /etc/sysctl.d/-sysctl.conf 配置文件，重启生效以解决权限或节点启动问题。同时，通过日志获取详细信息，以诊断和修复问题。

       对于 Linux 系统，安装并部署 Sonar Scanner，配置环境变量，修改 conf/sonar-scanner.properties 文件，生成令牌。对于 Windows 用户，下载解压安装包，配置环境变量后，通过 cmd 窗口运行 sonar-scanner 命令验证环境设置。

       使用 Sonar Scanner 进行代码扫描前，配置项目代码和创建 sonar-project.properties 文件。在项目同级目录下执行扫描，注意首次运行扫描时的缓存 JAR 包过程可能较慢。扫描完成后，界面会显示结果，参考相关链接查看。

       在集成 IDE 如 VScode 或 Pycharm 中使用 Sonar，需下载并安装中文插件，完成安装后重启 IDE。备份自定义的规则文件并导入，以适应特定项目需求。

       最后，配置 MySQL 服务时请参考相关废弃文档。易支付商户源码如需进一步支持，请查阅最新文档以获取正确配置指导。

问题发现早，处理代价小｜测试左移——静态代码扫描SonarQube

       作者 | 华婧彤

       ADVANCE.AI QA工程师

       一、背景

       什么是测试左移？

       测试左移是要尽早的发现和预防问题，使用必要的测试手段在软件开发周期的早些阶段发现问题。

       测试左移的方式有静态代码扫描、CodeReview、代码提交行为分析等。

       我们知道问题发现的越早，解决的成本就越小。统计证明，在整个软件开发生命周期中，%至%的代码逻辑设计和编码缺陷是可以通过静态代码分析来提早发现的。今天我们来了解一下测试左移里面的其中一种方式——静态代码扫描。

       二、静态扫描介绍

       什么是静态扫描？

       不运行代码的方式下，通过词法分析、语法分析、控制流、数据分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。

       静态代码扫描的优势：

       1.可以提前发现问题，提高软件可靠性并节省软件开发和测试成本。

       2.提高研发效率，帮助开发人员更专注于分析和解决代码设计缺陷，快速定位代码隐藏错误和缺陷。

       3.CodeReview需要额外的人工介入，其质量参差不齐也无法得到保障，而且高质量的CodeReview也会花费较多时间，成本较高。静态代码扫描以一种低成本的方式，自动发现代码中存在的资损风险，从而保障代码质量。

       三、SonarQube入门介绍

       什么是SonarQube？

       SonarQube是一款静态代码扫描工具，用于检测代码中的错误，漏洞和代码异味。

       支持Java、Python、PHP、JavaScript、CSS等种以上的语言。

       多维度分析代码：代码量、安全隐患、编写规范隐患、重复度、复杂度、测试覆盖率、代码增量等。

       支持和CI/CD环境进行集成（如Gitlab,Github,Jenkins等）能够持续进行代码质量检测。

       支持集成pmd、findbugs、checkstyle等插件来扩展使用其他规则来检验代码质量。

       四、功能介绍

       4.1扫描的规则：

       a.内置规则

       Sonar内嵌了Sonar way的扫描规则，不同语言（比如Java/Python/C#等）具有不同规则。

       b.集成插件规则

       Sonar集成了pmd/findbugs/checkstyle插件，对规则集进行补充。

       4.2配置规则集合：

       我们可以通过自定义扫描规则集以及异常的等级来定制检测问题，可以大大减少误报，更高效的查看结果报告并进行处理。

       4.3质量阈：

       质量阈是对项目指标进行度量的条件，项目必须达到所有条件才能算整体上通过可以自定义进行设置质量阈（重复率，可靠性，可维护性，安全率、覆盖率等）

       4.4多维度分析代码：

       ①代码规范

       ②潜在的bug

       ③重复

       ④注释不足或者过多

       ⑤复杂度分布

       ⑥缺乏单元测试

       ⑦糟糕的设计

       4.5问题处理&跟踪：

       点击对应问题可进入问题详情页面，会看到问题源码，sonarQube会根据代码提交信息这自动将任务分配给相关人员，若该用户设置了检查结果提示，在执行代码检查完成后，会自动收到邮件通知，当然你也可以将这个问题指派给其他人处理。

源代码审计工具之：SonarQube

       SonarQube是一个开源的代码分析平台，用于持续分析和评估项目源代码的质量。它能检测出项目中的重复代码、潜在bug、代码规范和安全性漏洞等问题，并通过web UI展示结果。

       1. Sonar简介

       1.1 SonarQube是什么？

       1. 代码质量和安全扫描和分析平台。

       2. 多维度分析代码：代码量、安全隐患、编写规范隐患、重复度、复杂度、代码增量、测试覆盖率等。

       3. 支持+编程语言的代码扫描和分析，包括Java、Python、C#、JavaScript、Go、C++等。

       4. 涵盖了编程语言的静态扫描规则：代码编写规范和安全规范。

       5. 能够与代码编辑器、CI/CD平台完美集成。

       6. 能够与SCM集成，可以直接在平台上看到代码问题是由哪位开发人员提交。

       7. 帮助程序猿写出更干净、更安全的代码。

       静态扫描主要针对开发人员编写的源代码。

       通过定义好的代码质量和安全规则，对开发人员编写的代码进行扫描和分析。

       将分析的结果多维护的呈现出来，以方便开发人员进行代码的优化和规范编写。

       1.2 SonarQube的各个功能：

       1.2.1 代码可靠性

       1. BUG检测

       2. 设置需要的代码标准

       3. 代码异味

       4. 代码安全性

       5. 对于开发的各个路径进行检测

       1.2.2 软件安全性

       1. Security Hotspots: 代码存在安全问题的部分

       2. Vulnerabilities: 代码是否存在漏洞

       1.3 SonarQube如何工作？

       Sonar静态代码扫描由两部分组成：SonarQube平台和sonar-scanner扫描器。

       SonarQube: web界面管理平台。

       1）展示所有的项目代码的质量数据。

       2）配置质量规则、管理项目、配置通知、配置SCM等。

       SonarScanner: 代码扫描工具。

       专门用来扫描和分析项目代码。支持+语言。

       代码扫描和分析完成之后，会将扫描结果存储到数据库当中，在SonarQube平台可以看到扫描数据。

       SonarQube和sonarScanner之间的关系：

       2 检测

       Sonar是一个用于代码质量管理的开源平台，用于管理源代码的质量，可以从七个维度检测代码质量。通过插件形式，可以支持包括Java、C#、C/C++、PL/SQL、Cobol、JavaScript、Groovy等等二十几种编程语言的代码质量管理与检测。

       2.1 Rules提示

       2.1.1 Rule界面

       2.1.2 Rule正确实例提示

       2.2 糟糕的复杂度分布

       文件、类、方法等，如果复杂度过高将难以改变，这会使得开发人员难以理解它们，且如果没有自动化的单元测试，对于程序中的任何组件的改变都将可能导致需要全面的回归测试。

       2.3 重复

       显然程序中包含大量复制粘贴的代码是质量低下的，Sonar可以展示源码中重复严重的地方。

       2.4 缺乏单元测试

       Sonar可以很方便地统计并展示单元测试覆盖率。

       2.5 没有代码标准

       Sonar可以通过PMD、CheckStyle、Findbugs等等代码规则检测工具规范代码编写。

       2.6 没有足够的或者过多的注释

       没有注释将使代码可读性变差，特别是当不可避免地出现人员变动时，程序的可读性将大幅下降，而过多的注释又会使得开发人员将精力过多地花费在阅读注释上，亦违背初衷。

       2.7 潜在的bug

       Sonar可以通过PMD、CheckStyle、Findbugs等等代码规则检测工具检测出潜在的bug。

       2.8 糟糕的设计（原文Spaghetti Design，意大利面式设计）

       通过Sonar可以找出循环，展示包与包、类与类之间的相互依赖关系，可以检测自定义的架构规则；通过Sonar可以管理第三方的jar包，可以利用LCOM4检测单个任务规则的应用情况，检测耦合。

       3. Sonar组成

       4. Sonar集成过程

       开发人员在他们的IDE中使用SonarLint运行分析本地代码。

       开发人员将他们的代码提交到代码管理平台中（SVN、GIT等），

       持续集成工具自动触发构建，调用SonarScanner对项目代码进行扫描分析，

       分析报告发送到SonarQube Server中进行加工，

       SonarQube Server加工并且保存分析报告到SonarQube Database中，通过UI显示分析报告。

SonarQute安装与多分支扫描分析插件安装

       在本文中，我们将探讨SonarQube的安装过程以及如何为多分支进行扫描分析。SonarQube是一个强大的代码质量管理工具，它提供了静态检查、度量和代码审查等功能，对开源项目维护尤其重要。

       首先，访问SonarQube官网获取详细的安装指南。如果你的环境是CentOS 7加上Docker，建议使用PostgreSQL作为数据库，但SonarQube支持多种数据库。创建SonarQube所需的文件夹时，官方推荐使用Docker volume来持久存储数据，但为了简单起见，这里我们没有采用这种方法。

       接着，使用Docker拉取镜像，设置启动端口和DB连接，启动SonarQube。初次登录时，请务必更改默认密码。遇到启动问题，可以查看Docker日志排查常见原因。

       接下来，我们演示如何使用SonarQube扫描一个SpringBoot项目，例如可以从GitHub下载示例项目。在SonarQube中创建项目，选择Maven本地扫描，生成的token用于触发扫描。

       对于多分支扫描，SonarQube社区版原生功能有限，需要安装插件。可以从GitHub获取mc1arke的插件，注意选择与你SonarQube版本相匹配的版本。安装后，重启SonarQube，通过-Dsonar.branch.name参数指定不同分支进行扫描。

       然而，你可能会遇到"Current edition does not support branch feature"的问题。解决方法包括重新启动SonarQube容器并更新环境变量，或者直接在容器内修改sonar.properties文件。尽管这种方法可能会带来一些挑战，但最终是可行的。

       总的来说，通过这些步骤，你将学会如何安装SonarQube，以及如何配置它对多分支进行代码扫描分析。记得根据你的实际环境进行调整，以便顺利进行代码质量管理。