Java代码质量分析Sonar

已于 2023-06-19 08:33:23 修改
阅读量3.4k 收藏 12
点赞数 2
分类专栏： tool 文章标签： java jenkins 开发语言
于 2023-06-18 22:41:29 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-NC-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ZGL_cyy/article/details/131277109
版权

目录

1. sonar安装

在这里插入图片描述

1.1 简介

sonar是一款静态代码质量分析工具，支持Java、Python、PHP、JavaScript、CSS等25种以上的语言，而且能够集成在IDE、Jenkins、Git等服务中，方便随时查看代码质量分析报告。

​ 通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如findbugs、Jenkins，通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。

​ 简单来说，SonarQube是一个质量平台，用于收集质量数据（代码扫描结果、测试覆盖率等），并对数据进行各维度的统计分析。

在这里插入图片描述

1.1.1 客户端

Sonar的客户端共有四种

  • Sonar-Scanner：一个独立的扫描器，通过简单的命令就能对项目进行静态扫描，并将扫描结果上传至SonarQube
  • sonar maven：一个maven插件，能通过maven命令执行静态扫描。
  • sonar ant插件：ant上的插件。
  • sonar IDE插件：可以直接集成到IDE中(比如IntelliJ)。

1.1.2 sonar 版本区分

SonarQube除了开源的社区版之外，还有开发者版、企业版和数据中心版等不同的发行版本，以满足不同类型的客户需求，以下是根据SonarSource官网整理的各个版本之间的差异。

在这里插入图片描述

1.1.2.1 社区版

​ 社区版就是通常大家所说的开源版本的SonarQube，通过其核心的代码质量和安全问题的扫描能力，以及质量门禁的功能，成为了目前代码静态扫描事实上的标准。

据有以下功能

  • 60多个插件
  • DevOps工具链集成
  • 代码质量和安全
  • 支持15种语言
  • 支持5种IDE

​

​ 此外，开源版支持15种常见的开发语言，尤其是在互联网行业中广泛使用Java和JavaScript的情况下，通过与构建工具（如maven/gradle插件）以及持续集成工具（如Jenkins）的集成，基本能满足个人和团队的日常代码扫描所需。

1.1.2.2 开发者版

当然，在开源社区版本的基础上，SonarQube还提供了开发者版。在全部社区版功能的基础上，新增了以下的功能

  • Branch analysis（分支分析）
  • Pull Request decoration（PR/MR注释）
  • Detection of injection vulnerabilities（注入漏洞探测）
  • SonarLint notifications（SonarLint通知）
  • 22 Programming Languages Covered(尤其新增了c/c++/plsql)
  • Developer Edition is available up to 20M Lines of Code.

对于金融行业来说，开发者版本支持了C/C++以及Oracle PL/SQL这三种语言，这样就为核心交易类系统以及遗留的业务系统展开代码扫描扫清了障碍。

​ 另外一个非常有用的功能是多分支分析，社区版主要适合主干开发的团队，而目前Gitlab/Github-Flow以及特性分支等也非常流行，具备多分支分析能力，让SonarQube与现有团队的工作模式更加贴合。

1.1.2.3 企业版

对于大型跨国公司或者是集团性企业来说，开发者版就有些不够用了。当然，只要肯花钱，SonarQube也还有适用的版本。

  • Portfolio Management（项目集管理）
  • Executive Reporting（管理层报告）
  • Security Reports（安全报告）
  • Project Transfer（项目汇聚）
  • 27 Programming Languages Covered
  • Enterprise Edition is available up to 100M Lines of Code.

​ 从上述特性清单来看，企业版主要是关注于管理层面的增强了。例如，多个应用可以汇聚成一条产品线或者事业部，通过其项目集管理也可以把若干个SonarQube项目汇聚到一个统计口径之下。

1.2 安装部署

1.2.1 修改文件句柄数

系统配置，避免启动问题

# 系统配置，避免启动问题
echo "vm.max_map_count=262144" >> /etc/sysctl.conf
sysctl -p

1.2.2 创建挂载目录

mkdir -p ~/sonarqube && cd ~/sonarqube
# 创建所有的sonarqube映射文件
mkdir -p ~/sonarqube/postgres && \
mkdir -p ~/sonarqube/data && \
mkdir -p ~/sonarqube/extensions && \
mkdir -p ~/sonarqube/logs && \
mkdir -p ~/sonarqube/conf
# 创建数据库挂载
mkdir -p ~/sonarqube/postgresql &&\
mkdir -p ~/sonarqube/datasql
# 目录设置为 777 权限，避免权限问题
chmod 777  ~/sonarqube/*

1.2.3 创建docker-compose.yml

vi ~/sonarqube/docker-compose.yml
version: '3'
services:
  postgres:
    image: postgres:9.6.24
    restart: always
    container_name: sonarqube_postgres
    ports:
      - 5432:5432
    volumes:
      - ~/sonarqube/postgresql/:/var/lib/postgresql
      - ~/sonarqube/datasql/:/var/lib/postgresql/data
    environment:
      TZ: Asia/Shanghai
      POSTGRES_USER: sonar
      POSTGRES_PASSWORD: sonar
      POSTGRES_DB: sonar
    networks:
      - sonar-network
  sonar:
    image: sonarqube:8.9.9-community
    restart: always
    container_name: sonarqube
    depends_on:
      - postgres
    volumes:
      - ~/sonarqube/extensions:/opt/sonarqube/extensions
      - ~/sonarqube/logs:/opt/sonarqube/logs
      - ~/sonarqube/data:/opt/sonarqube/data
      - ~/sonarqube/conf:/opt/sonarqube/conf
    ports:
      - 9000:9000
    environment:
      SONARQUBE_JDBC_USERNAME: sonar
      SONARQUBE_JDBC_PASSWORD: sonar
      SONARQUBE_JDBC_URL: jdbc:postgresql://postgres:5432/sonar
    networks:
      - sonar-network
networks:
  sonar-network:
    driver: bridge

1.2.4 启动

docker-compose up -d
1.2.4.1 访问测试

浏览器访问：ip+端口，如：192.168.245.139:9000，账号密码都是 admin

在这里插入图片描述

登录后进入项目页面

在这里插入图片描述

1.2.5 安装插件

可以进入应用市场下载一些常见的插件，一般是通过github下载，可能出现现在不下来的情况，可以手动下载后将jar包放进对应的extensions/downloads下载目录就可以，然后点击install就可以进行安装了

在这里插入图片描述

1.2.5.1 汉化插件

Chinese Pack是一个sonar的汉化插件，安装后就可以体验中文界面了，以下是各版本的对应关系

SonarQube9.09.19.2
sonar-l10n-zh9.09.19.2
SonarQube8.08.18.28.38.48.58.68.78.88.9
sonar-l10n-zh8.08.18.28.38.48.58.68.78.88.9
SonarQube7.07.17.27.37.47.57.67.77.87.9
sonar-l10n-zh1.201.211.221.231.241.251.261.271.281.29
SonarQube6.06.16.26.36.46.56.66.7
sonar-l10n-zh1.121.131.141.151.161.171.181.19
SonarQube5.45.55.6
sonar-l10n-zh1.91.101.11
SonarQube4.04.1
sonar-l10n-zh1.71.8
SonarQube3.13.23.33.43.53.63.7
sonar-l10n-zh1.01.11.21.31.41.51.6

下载地址：https://github.com/xuhuisheng/sonar-l10n-zh，找到对应的版本下载后上传到dowload文件夹

在这里插入图片描述

在应用市场进行重启即可

在这里插入图片描述

再次访问就变成了中文界面了

在这里插入图片描述

1.3 静态分析插件介绍

1.3.1 什么是静态代码分析

​ 静态代码分析是指无需运行被测代码，仅通过分析或检查源程序的语法、结构、过程、接口等来检查程序的正确性，找出代码隐藏的错误和缺陷，如参数不匹配，有歧义的嵌套语句，错误的递归，非法计算，可能出现的空指针引用等等。

​ 在软件开发过程中，静态代码分析往往先于动态测试之前进行，同时也可以作为制定动态测试用例的参考。统计证明，在整个软件开发生命周期中，30% 至 70% 的代码逻辑设计和编码缺陷是可以通过静态代码分析来发现和修复的。

​ 但是，由于静态代码分析往往要求大量的时间消耗和相关知识的积累，因此对于软件开发团队来说，使用静态代码分析工具自动化执行代码检查和分析，能够极大地提高软件可靠性并节省软件开发和测试成本。

1.3.1.1 静态代码分析优势
  1. 帮助程序开发人员自动执行静态代码分析，快速定位代码隐藏错误和缺陷。
  2. 帮助代码设计人员更专注于分析和解决代码设计缺陷。
  3. 显著减少在代码逐行检查上花费的时间，提高软件可靠性并节省软件开发和测试成本。

1.3.2 java静态分析插件

1.3.2.1 Checkstyle

​ Checkstyle 是 SourceForge 的开源项目，通过检查对代码编码格式，命名约定，Javadoc，类设计等方面进行代码规范和风格的检查，从而有效约束开发人员更好地遵循代码编写规范。

​ 此外，Checkstyle 支持用户根据需求自定义代码检查规范，在配置面板中，用户可以在已有检查规范如命名约定，Javadoc，块，类设计等方面的基础上添加或删除自定义检查规范。

检查内容

  • Javadoc 注释：检查类及方法的 Javadoc 注释
  • 命名约定：检查命名是否符合命名规范
  • 标题：检查文件是否以某些行开头
  • Import 语句：检查 Import 语句是否符合定义规范
  • 代码块大小，即检查类、方法等代码块的行数
  • 空白：检查空白符，如 tab，回车符等
  • 修饰符：修饰符号的检查，如修饰符的定义顺序
  • 块：检查是否有空块或无效块
  • 代码问题：检查重复代码，条件判断，魔数等问题
  • 类设计：检查类的定义是否符合规范，如构造函数的定义等问题
1.3.2.2 FindBugs

​ FindBugs 是由马里兰大学提供的一款开源 Java 静态代码分析工具，FindBugs 通过检查类文件或 JAR 文件，将字节码与一组缺陷模式进行对比从而发现代码缺陷，完成静态代码分析，FindBugs 既提供可视化 UI 界面，同时也可以作为 Idea 插件使用。

检查内容

  • Bad practice 坏的实践：常见代码错误，用于静态代码检查时进行缺陷模式匹配
  • Correctness 可能导致错误的代码，如空指针引用等
  • 国际化相关问题：如错误的字符串转换
  • 可能受到的恶意攻击，如访问权限修饰符的定义等
  • 多线程的正确性：如多线程编程时常见的同步，线程调度问题。
  • 运行时性能问题：如由变量定义，方法调用导致的代码低效问题。
1.3.2.3 PMD

​ PMD 是由 DARPA 在 SourceForge 上发布的开源 Java 代码静态分析工具，PMD 通过其内置的编码规则对 Java 代码进行静态检查，主要包括对潜在的 bug，未使用的代码，重复的代码，循环体创建新对象等问题的检验。

检查内容

  • 可能的 Bugs：检查潜在代码错误，如空 try/catch/finally/switch 语句
  • 未使用代码（Dead code）：检查未使用的变量，参数，方法
  • 复杂的表达式：检查不必要的 if 语句，可被 while 替代的 for 循环
  • 重复的代码：检查重复的代码
  • 循环体创建新对象：检查在循环体内实例化新对象
  • 资源关闭：检查 Connect，Result，Statement 等资源使用之后是否被关闭掉

1.3.3 几种插件对比

1.3.3.1 技术对比
Java 静态分析工具分析对象应用技术
CheckstyleJava 源文件缺陷模式匹配
FindBugs字节码缺陷模式匹配；数据流分析
PMDJava 源代码缺陷模式匹配
1.3.3.2 分析对比
代码缺陷分类示例CheckstyleFindBugsPMD
引用操作空指针引用√√√
对象操作对象比较（使用 == 而不是 equals）√√
表达式复杂化多余的 if 语句√
数组使用数组下标越界
未使用变量或代码段未使用变量√√
资源回收I/O 未关闭√
方法调用未使用方法返回值√
代码设计空的 try/catch/finally 块√

2. Sonar使用

2.1 Maven代码扫描

2.1.1 创建项目

点击创建项目就可以创建一个项目，为项目创建令牌

在这里插入图片描述

选择手工创建项目即可

在这里插入图片描述

点击手工后，输入项目标识符以及项目名称，标识符是为了区分不同的项目，输入完成后，在输入令牌点击创建即可

在这里插入图片描述

创建令牌后，会生成一个token，这个token是需要保存的，只会在这里显示一次

在这里插入图片描述

2.1.2 Maven 分析项目

2.1.2.1 生成sonar分析的命令

点击后面的Maven分析项目，会生成一个maven分析项目的命令保存下来

在这里插入图片描述

mvn sonar:sonar \
  -Dsonar.projectKey=taxi \
  -Dsonar.host.url=http://192.168.245.139:9000 \
  -Dsonar.login=7aafcd2c4da5c2e80bde66a3a0970d3278d359d6
2.1.2.2 项目配置 Sonar

我们需要配置 Maven 的 setting.xml文件，增加 sonarQube 配置

<!-- Apache Maven 配置 -->
<pluginGroups>
    <pluginGroup>com.spotify</pluginGroup>
    <!-- 添加一个maven扫描的配置 -->
    <pluginGroup>org.sonarsource.scanner.maven</pluginGroup>
</pluginGroups>
<profiles>
    <profile>
        <id>sonar</id>
        <activation>
            <activeByDefault>true</activeByDefault>
        </activation>
        <properties>
           <!-- 配置 Sonar Host地址，默认：http://localhost:9000 -->
            <sonar.host.url>
                http://192.168.245.139:9000
            </sonar.host.url>
        </properties>
    </profile>
</profiles>
2.1.2.3 单元测试覆盖率

项目中一般要求需要编写测试用例，可以使用sonar统计单元测试的覆盖率，需要在maven项目由以下配置

<plugin>
    <groupId>org.jacoco</groupId>
    <artifactId>jacoco-maven-plugin</artifactId>
    <version>0.8.8</version>
    <executions>
        <execution>
            <id>prepare-agent</id>
            <goals>
                <goal>prepare-agent</goal>
            </goals>
        </execution>
        <execution>
            <id>report</id>
            <phase>prepare-package</phase>
            <goals>
                <goal>report</goal>
            </goals>
        </execution>
        <execution>
            <id>post-unit-test</id>
            <phase>test</phase>
            <goals>
                <goal>report</goal>
            </goals>
            <configuration>
                <dataFile>target/jacoco.exec</dataFile>
                <outputDirectory>target/jacoco-reports</outputDirectory>
            </configuration>
        </execution>
    </executions>
    <configuration>
        <systemPropertyVariables>
            <jacoco-agent.destfile>target/jacoco.exec</jacoco-agent.destfile>
        </systemPropertyVariables>
    </configuration>
</plugin>

2.1.3 执行扫描任务

2.1.3.1 没有单元测试覆盖率

配置完成setting.xml后就可以到项目中执行maven的执行命令了，可以执行以下命令

mvn sonar:sonar -Dsonar.projectKey=hitch  -Dsonar.login=7c73f9b0176966c98ae9f52f129a3123227af29e

然后在项目中执行相关命令

在这里插入图片描述

执行后就可以等待sonar扫描即可

在这里插入图片描述

扫描完成后就可以看到分析的项目问题了

在这里插入图片描述

2.1.3.1 单元测试覆盖率

配置完成项目后，就需要执行sonar扫描命令了，如果需要单元测试执行如下命令

mvn clean org.jacoco:jacoco-maven-plugin:prepare-agent install -Dmaven.test.failure.ignore=true -Dsonar.core.codeCoveragePlugin=jacoco -Dsonar.projectKey=robocode -Dsonar.login=7e469127ed58539844f1c68dd0cb77f60e02d0e6 sonar:sonar

在项目中执行maven命令

在这里插入图片描述

执行后就可以等待sonar扫描完成即可

在这里插入图片描述

扫描完成后就可以看到分析的项目问题了

在这里插入图片描述

2.2 使用SonarLint

​ SonarLint是一款强大快速的能帮助开发者发现代码里的bug或是代码质量优化点的扩展工具。支持很多主流的语言：JAVA、js、PHP、Python，也支持主流的IDE们，idea、Eclipse、vs。在idea里更是以插件的形式无缝接入。

2.2.1 扫描模式区别

2.2.1.1 独立模式

使用插件内置规则进行检查，由于刚安装完插件之后设置是默认打开自动检测的，所以现在你的最底层工具栏里应该会多一项sonarlint，你打开不同的Java文件，检测会自动进行 ，检测结果也会直接展示在那里。

  • 优点：无须配置，开箱即用，检查速度快；
  • 缺点：内置规则与SonarQube服务器规则的不一致，会造成检查结果的不一致。

使用

在这里插入图片描述

2.2.1.2 连接模式

需连接SonarQube服务器

  • 优点：简单配置后，即可使用SonarQube服务器的规则和配置项进行检查，检查结果保持最大一致。
  • 缺点：项目需先接入SonarQube。

2.2.2 安装插件

打开IDEA，File-> Setteings->Plugins,在搜索栏搜索SonarLint,然后安装，安装完后点击Restart IntelliJ IDEA重启idea

在这里插入图片描述

2.2.3 配置SonarLint

对于企业级的开发，很多企业可能对代码风格和检查项有自己的要求。这就可以为公司的开发者提供sonarqube服务器，在其上进行配置，然后开发者连接以后就可以让sonarlint按照公司的定义来进行检查了。

2.2.3.1 添加sonarqube server

依次点击File–>Settings–>Other Settings–>SonarLint General Settings，并进行如下操作：

在这里插入图片描述

配置本地nodejs.exe,然后添加sonarqube服务器

在这里插入图片描述

2.2.3.2 配置项目

输入刚刚创建的Token

在这里插入图片描述

最后选择对应的projectKey即可

在这里插入图片描述

可以配置响应的模块来查看进行检测项目

在这里插入图片描述

2.2.4 联动测试

使用了连接模式后，我们对于sonarqube服务求上面的规则变更会反映到我们的本地sonarlint插件上

2.2.4.1 分析代码

该类存在四个空指针的问题，我们假设改代码不会出现空指针问题

在这里插入图片描述

2.2.4.2 关闭服务器bug

我们到sonarqube将该问题给改为不会修复，并点击评论即可

在这里插入图片描述

2.2.4.3 查看本地扫描结果

再次来查看下本地的扫描结果，发现该bug提示已经消失。

在这里插入图片描述

2.3 指标分析

2.3.1 总览

在这里插入图片描述

2.3.2 质量阈值

表示扫描是否通过，如果没有通过会显示失败，就需要进行修改代码了

2.3.3 可靠性

可靠性主要反应代码的bug数量，分为A-E五个等级，计算规则如下

  • A ：0 Bug 最高等级A，表示代码无bug
  • B ：at least 1 Minor Bug 代码只要有一个次要bug，等级就为B
  • C：at least 1 Major Bug 只要包含一个重要bug，等级将为C
  • D：at least 1 Critical Bug 只要有一个严重bug，等级评估为D
  • E：at least 1 Blocker Bug 只要有一个最高等级的阻断级别的bug，可靠性评估为E，最低级别

2.3.4 漏洞严重级别

2.3.4.1 阻断

直接获取重要服务器（客户端）权限的漏洞。

​ 包括但不限于远程任意命令执行、上传 webshell、可利用远程缓冲区溢出、可利用的 ActiveX 堆栈溢出、可利用浏览器 use after free 漏洞、可利用远程内核代码执行漏洞以及其它因逻辑问题导致的可利用的远程代码执行漏洞； 直接导致严重的信息泄漏漏洞，包括但不限于重要系统中能获取大量信息的SQL注入漏洞； 能直接获取目标单位核心机密的漏洞。

2.3.4.2 严重

直接获取普通系统权限的漏洞

​ 包括但不限于远程命令执行、代码执行、上传webshell、缓冲区溢出等； 严重的逻辑设计缺陷和流程缺陷。包括但不限于任意账号密码修改、重要业务配置修改、泄露； 可直接批量盗取用户身份权限的漏洞。包括但不限于普通系统的SQL注入、用户订单遍历； 严重的权限绕过类漏洞。包括但不限于绕过认证直接访问管理后台、cookie欺骗。 运维相关的未授权访问漏洞，包括但不限于后台管理员弱口令、服务未授权访问

2.3.4.3 重要

需要在一定条件限制下，能获取服务器权限、网站权限与核心数据库数据的操作

​ 包括但不限于交互性代码执行、一定条件下的注入、特定系统版本下的getshell等； 任意文件操作漏洞。包括但不限于任意文件写、删除、下载，敏感文件读取等操作； 水平权限绕过，包括但不限于绕过限制修改用户资料、执行用户操作。

2.3.4.4 次要

能够获取一些数据，但不属于核心数据的操作

​ 在条件严苛的环境下能够获取核心数据或者控制核心业务的操作， 需要用户交互才可以触发的漏洞，包括但不限于XSS漏洞、CSRF漏洞、点击劫持。

2.3.5 安全性

安全性主要反应代码中可能存在的漏洞的数量

2.3.5.1 热点和漏洞

热点和漏洞之间的主要区别：在决定是否应用修复之前需要进行审查

2.3.5.2 安全热点

可以突出显示安全敏感的一段代码，但可能不会影响整体应用程序安全性。由开发人员审查代码以确定是否需要修复以保护代码。

2.3.5.3 漏洞

已发现需要立即修复的影响应用程序安全性的问题

赵广陆
关注
  • 2
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
sonar java_JAVA开发必知工具-Sonar简介及使用
weixin_28729205的博客
02-12 2353
Sonar简介Sonar是一个用于代码质量管理的开源平台，用于管理源代码的质量，可以从七个维度检测代码质量通过插件形式，可以支持包括java,C#,C/C++,PL/SQL,Cobol,JavaScrip,Groovy等等二十几种编程语言的代码质量管理与检测sonarQube能带来什么？Developers' Seven Deadly Sins1.糟糕的复杂度分布文件、类、方法等，如果复杂度过高将...
sonar7.4+阿里编码规约.zip
11-12
1、sonarqube是属于sonarsource之一的代码规范和安全解决方案。 2、《阿里巴巴Java开发手册》是阿里巴巴集团技术团队的集体智慧结晶和经验总结，经历了多次大规模一线实战的检验及不断的完善，系统化地整理成册，回馈给广大开发者。 3、文件包是对阿里规约的践行。
代码典型缺陷分析—代码质量分析会上的报告
iteye_6274的博客
03-08 459
前几天事业部召开代码质量分析会，其中一个环节就是讲解一下一些产品的开发过程中一些代码缺陷，让我们的研发人员代码编写更加规范，是的，这个环节是我讲解的。 非常感谢部门经理给与我这个机会，这是我很好的一次锻炼机会，也是经理对我的信任，所以我不能辜负经理对我的信任，不能浪费掉这次锻炼的机会，也不能丢我们部门的脸。尽管时间很紧张，准备时间很短，但我还是抽掉了好几个大晚上就准备它。开会的前几天，当质保...
持续集成（CICD）-- sonar代码审查（静态扫描）
最新发布
qq_45004869的博客
03-12 436
sonar-scanner.bat/sonar-scanner.sh的绝对路径> -D"sonar.projectKey=<扫描项目名(自定义)>" -D"sonar.host.url=<Sonar的服务地址>" -D"sonar.login=<Sonar的服务用户名>" -D"sonar.password=<Sonar的服务密码>"：进入到【开发项目】—>构建—>Execute SonarQube Scanner 【注意构建的顺序：比如部署构建的代码要在扫描之后】下载完成之后是一个压缩文件，解压之后；
Java单元测试实践-理论-＞实践-＞Sonar集成
IccBoY_超越
01-24 1971
本文说明了单元测试与集成测试的区别，并从单元测试命名规范，编写(Given-When-Then)，单元测试工具（mock工具及断言工具），以及maven插件实现单元测试和集成测试的分开执行方面,和与sonar集成进行了实践。
使用sonar进行java代码质量管理
程序员涂小哥的技术博客
10-19 9555
前言应公司要求，这一次的开发需要进行sonar进行静态代码质量检测。 接到这个任务的时候，我还并不知道sonar是什么，但听到静态代码检测几个字的时候，我下意识的以为是类似checkstyle之类的工具，但是真正用过之后我发现我错了。 我发现实际运行的时候，似乎并不纯粹是静态，因为整个检测过程中还会连接数据库，还会发送http请求，还会连接svn等等。 用完之后，深感这个工具的好用，不检测不知
sonar-java：用于Java代码质量和安全性的SonarSource静态分析器
02-03
Java的代码质量和安全性 该SonarSource项目是Java项目的代码分析器。 有关Java功能分析的信息可。 产品特点 500多个规则（包括100多个错误检测规则和300多个代码气味） 指标（复杂度，行数等） 导入 有用的链接 有问题或反馈吗？ 要提供反馈（请求功能，报告错误等），请使用。 请不要忘记指定语言（Java！），插件版本和SonarQube版本。 如果您对如何使用插件有疑问（并且无济于事），我们也鼓励您使用社区论坛。 贡献 SonarQube社区论坛中的主题 要请求新功能，请在创建一个新线程。 即使您打算自己实施它并提交给社区，也请首先启动一个新线程，以确保我们可
代码质量检测-SonarQube
weixin_40559666的博客
11-30 1万+
SonarQube快速上手使用集成gitlab流水线控制
Docker、Jenkins 结合 SonarQube 和 Sonar scanner 进行代码质量扫描
养歌的博客
07-01 2199
SonarQube是一个用于管理代码质量的开放平台，可以快速的定位代码中潜在的或者明显的错误。目前支持java，C#，C/C++，Python，PL/SQL，Cobol，JavaScrip，Groovy等二十几种编程语言的代码质量管理与检 测。官网地址：https://www.sonarqube.org/ 如果要使用 sonarQube 需要注意两点：安装地址：https://blog.csdn.net/wuhuayangs/article/details/125426751?spm=1001.2014.
Sonar简介
transform_xbc的博客
08-17 863
SonarQube是一个静态代码扫描平台，支持主流语言的静态代码扫描分析。Sonarqube是sonar的服务端，相当于一个web服务器，用来发布应用，在线浏览、配置分析等。
几款Java源码扫描工具(FindBugs、PMD、SonarQube、Fortify、WebInspect)
没刮胡子的程序员专栏
11-23 4930
几款Java源码扫描工具FindBugs、PMD、SonarQube、Fortify、WebInspect
Sonar代码质量管理平台-其他
06-13
Sonar（SonarQube）是一个开源平台，用于管理源代码的质量。Sonar 不只是一个质量数据报告工具，更是代码质量管理平台。支持的语言包括：Java、PHP、C#、C、Cobol、PL/SQL、Flex 等。 Sonar主要特点： 1、代码覆盖：通过单元测试，将会显示哪行代码被选中 2、改善编码规则 3、搜寻编码规则：按照名字，插件，激活级别和类别进行查询 4、项目搜寻：按照项目的名字进行查询 5、对比数据：比较同一张表中的任何测量的趋势
Sonar实战篇
01-27
配置好JDK1.8之后呢，就要开始sonar的环境变量配置啦:首先添加系统变量。变量名：SONAR_RUNNER_HOME，变量值：C:\sonar-scanner3.0。 然后在系统变量path后加;C:\sonarqube-6.3\bin\windows-x86-64;%SONAR_RUNNER_HOME%/bin;接下来谈谈conf文件夹下的配置文件：sonar.properties。这个文件里的代码都是用#注释的，一般情况下你没必要去修改它。对，你没有看错，的确是不用修改这个配置文件。（不知道为什么网上好多相关博客都是
Sonar代码质量分析插件
08-24
SonarQube为静态代码检查工具，帮助检查代码缺陷，改善代码质量，提高开发速度
sonar+Jenkins 构建代码质量自动化分析平台.doc
09-09
sonar+Jenkins 构建代码质量自动化分析平台 Sonar 是一个用于管理代码质量的开源工具，可以分析代码中的bug和漏洞以及Code Smells，支持20多种编程语言的检测，如java，c/c++，python，php等语言，当前有超过85000家组织在使用sonar。Sonar可以与DevOps工具链完全整合，可以与大多数构建工具进行内置集成，与Jenkins，TFS / VSTS，TeamCity，Bamboo等持续整合引擎轻松集成，支持众多源代码管理配置工具，如git，svn，cvs等。
sonarqube版本7.7代码质量分析工具下载即用
10-29
sonarqube7.7版本，支持mysql，官方现在的都是8.0之后了，不支持mysql了 下载即用
IDEA快速构建UML类图
热门推荐
赵广陆
06-27 2万+
目录 1 UML图 1.1 类图概述 1.2 类图的作用 1.3 类图表示法 1.3.1 类的表示方式 1.3.2 类与类之间关系的表示方式 1.3.2.1 关联关系 1.3.2.2 聚合关系 1.3.2.3 组合关系 1.3.2.4 依赖关系 1.3.2.5 继承关系 1.3.2.6 实现关系 2 IDEA快速构建UML类图 1 UML图 统一建模语言（Unified Modeling Language，UML）是用来设计软件的可视化建模语言。它的特点是简单、统一、图形化、能表达软件设计中的动态与静态信息
Java实现图片转化为pdf
赵广陆
08-27 9510
目录 1 导入jar包 2 工具类 3 效果 需求比较简单就是Java实现图片转化为pdf，原本要求html转图片再转pdf，看了几种方案其实都很差劲，不如后端直接转保证清晰度。
Swagger生成接口文档
赵广陆
07-08 8927
目录1 简单介绍2 入门案例2.1 引入依赖2.2 编写配置2.3 启动测试3 常用注解4 生成可以生成文档的增强4.1 添加依赖4.2 重启项目5 记录生产环境的坑6 生成docx文档6.1 pandoc安装6.2 文件转换6.3 遇到的问题 1 简单介绍 Swagger是一个实现了OpenAPI(OpenAPI Specification)规范的工具集。OpenAPI是Linux基金会的一个项目，试图通过定义一种用来描述API格式或API定义的语言，来规范RESTful服务开发过程。 swagger
dclock代码质量分析报告使用教程
03-27
1. 概述 本文是针对dclock项目进行代码质量分析的报告使用教程。dclock是一个开源的跨平台桌面时钟应用程序，使用C++编写。本文将介绍如何使用SonarQube进行代码质量分析，并对分析结果进行解读和分析。 2. SonarQube介绍 SonarQube是一个开源的代码质量管理平台，它提供了一套完整的解决方案，从代码质量分析、缺陷检测到代码重构等。SonarQube可以帮助开发团队发现代码中的问题，并提供修复建议和指导。它支持多种编程语言，包括Java、C/C++、Python等。 3. 分析工具 本文使用的是SonarQube Community Edition 8.9.2，是SonarQube的最新版本。SonarQube支持多种插件，用于对不同编程语言的代码进行分析。本文使用的插件是C++ Community Plugin，用于对C++代码进行分析。 4. 分析步骤 本文将介绍如何使用SonarQube对dclock项目进行代码质量分析，包括以下步骤： 1. 下载和安装SonarQube Community Edition 8.9.2。 2. 启动SonarQube服务器，并访问http://localhost:9000进行登录和配置。 3. 创建一个新的SonarQube项目，用于存储dclock代码分析结果。 4. 下载dclock源代码，使用CMake构建项目，并生成编译器所需的编译命令文件。 5. 使用sonar-scanner命令行工具对dclock项目进行代码质量分析，并将分析结果上传到SonarQube服务器。 6. 在SonarQube服务器上查看分析结果，并分析代码质量问题。 5. 分析结果 分析结果包括代码质量分数、代码质量问题、代码复杂度、代码覆盖率等。以下是dclock项目的代码质量分析结果： 1. 代码质量分数 代码质量分数是SonarQube对代码质量的综合评估，分数越高表示代码越健康。dclock项目的代码质量分数为C，说明代码存在较多的问题。 2. 代码质量问题 代码质量问题是SonarQube检测到的代码缺陷和不规范之处，包括Bug、漏洞、代码重复、代码坏味道等。dclock项目存在较多的代码质量问题，其中包括： - 潜在的内存泄漏问题 - 大量的代码复制和粘贴 - 使用了一些不安全的函数 - 函数的复杂度较高 3. 代码复杂度 代码复杂度是SonarQube对代码结构复杂程度的评估，包括函数的嵌套深度、控制流程复杂度等。dclock项目的代码复杂度较高，其中一些函数的复杂度超过了10，需要进一步优化。 4. 代码覆盖率 代码覆盖率是SonarQube对代码测试覆盖率的评估，包括代码覆盖率和行覆盖率。dclock项目的代码覆盖率为0，说明代码没有进行过测试。 6. 总结 本文介绍了如何使用SonarQube对dclock项目进行代码质量分析，并对分析结果进行了解读和分析。通过分析结果可以发现dclock代码存在较多的问题，需要进一步优化和改进。代码质量分析是开发过程中必不可少的一环，它可以帮助开发人员发现代码中的问题，并提供修复建议和指导，从而提高代码的可维护性和可靠性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

赵广陆

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值