SonarQube7.8 安装及使用

SonarQube 使用手册

一、简介

1.1、概述

SonarQube 是一种自动代码审查工具，用于检测代码中的错误、漏洞和代码异味。

支持包括 java, C#, C/C++, PL/SQL, Cobol, JavaScrip, Groovy 等等二十几种编程语言的代码质量管理与检测。

1.2、实例组件

一个 SonarQube 实例包含三个组件：

1. SonarQube 服务器运行以下进程：
   • 服务于 SonarQube 用户界面的 Web 服务器。
   • 基于 Elasticsearch 的搜索服务器。
   • 负责处理代码分析报告并将其保存在 SonarQube 数据库中的计算引擎。
2. 数据库存储以下内容：
   • 代码扫描期间生成的代码质量和安全性指标和问题。
   • SonarQube 实例配置。
3. 在您的构建或持续集成服务器上运行的一台或多台扫描仪，用于分析项目。

二、安装

2.1、版本选型

组件	版本	描述
jdk	1.8.0	Java运行环境
MySQL	5.7	数据库
SonarQube	[社区版 7.8](SonarSource Downloads-CDN)	SonarQube 7.9开始需要Java 11且不支持mysql了

2.2、硬件要求

• 1. SonarQube 服务器的小规模（个人或小团队）实例需要至少 2GB 的 RAM 才能高效运行，并需要 1GB 的可用 RAM 供操作系统使用。如果您要为大型团队或企业安装实例，请考虑以下其他建议。
• 2. 您需要的磁盘空间量将取决于您使用 SonarQube 分析的代码量。
• 3. SonarQube 必须安装在具有出色读写性能的硬盘上。最重要的是，“数据”文件夹包含 Elasticsearch 索引，当服务器启动并运行时，大量的 I/O 将在这些索引上完成。因此，读写硬盘性能将对整体 SonarQube 服务器性能产生很大影响。
• 4. SonarQube 在服务器端不支持 32 位系统。然而，SonarQube 在扫描器端支持 32 位系统。

2.3、安装

案例安装在CentOS7系统

2.3.1、解压SonarQube&汉化

下载 [社区版 7.8 sonarqube-7.8.zip](SonarSource Downloads-CDN) 并上传文件到/usr/local/wts/目录下

• 解压

cd /usr/local/wts
# 解压
unzip sonarqube-7.8.zip

• 汉化 安装中文语言包

  登录后, 打开 Administration → Marketplace, 搜索 chinese pack, 点击 install

  由于低版本SonarQube自带的插件商店没有对应的汉化版本，这里我们下载汉化插件 sonar-l10n-zh-plugin-1.28.jar

下载完成之后，我们将这个jar包放入SonarQube的安装目录下的extensions/plugins文件夹中即可。

2.3.2、创建SonarQube数据库

由于SonarQube默认使用的内嵌数据库H2，这种不适应于生产环境。所以我们替换成mysql数据库。

首先创建一个名为sonar的数据库。

CREATE DATABASE `sonar` CHARACTER SET 'utf8mb4';

2.3.3、修改数据库连接

在SonarQube的配置文件/usr/local/wts/sonarqube-7.8/conf/sonar.properties中添加如下配置：

# 数据库连接信息
sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8&rewriteBatchedStatements=true&useConfigs=maxPerformance&useSSL=false
sonar.jdbc.username=root
sonar.jdbc.password=123456
sonar.sorceEncoding=UTF-8
# SonarQube的web页面登录信息
sonar.login=admin
sonar.password=admin

2.3.4、创建SonarQube启动用户

SonarQube内置了elasticsearch，elasticsearch不允许使用root用户启动

# 创建用户
useradd sonar
passwd sonar

2.3.5、赋予启动用户执行权限

chown -R sonar:sonar /usr/local/wts/sonarqube-7.8/

2.3.6、相关报错解决

直接启动sonar，可能内部组件elasticsearch会报错：

需要修改配置：

①[1]: max file descriptors [4096] for elasticsearch process is too low, increase to at least [65535]

每个进程最大同时打开文件数太小，可通过下面2个命令查看当前数量

ulimit -Hn
ulimit -Sn

修改/etc/security/limits.conf文件，增加配置，用户退出后重新登录生效

*	soft    nofile  65536
*	hard    nofile  65536

②[2]: max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]

最大线程个数太低，可通过命令查看

ulimit -Hu
ulimit -Su

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IB3G8P4W-1684727414562)(images\1007-sonar-es-cfg-husu.png)]

修改配置文件/etc/security/limits.conf（和问题1是一个文件），增加配置

*	soft	nproc	4096
*	hard	nproc	4096

修改后的文件：

③max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]

最大虚拟内存。修改/etc/sysctl.conf文件，增加配置

vm.max_map_count=262144

执行命令sysctl -p生效

④Exception in thread "main" java.nio.file.AccessDeniedException: /usr/local/wts/sonarqube-7.8/elasticsearch/config/es/elasticsearch.yml

启动elasticsearch的用户没有该文件夹的权限，执行命令：

chown -R sonar:sonar /usr/local/wts/sonarqube-7.8/

2.3.7、登录启动用户，启动程序

su - sonar
cd /usr/local/wts/sonarqube-7.8/bin/linux-x86-64
sh sonar.sh start

2.3.8、登录

浏览器打开 http://ip:9000

用户名/密码：admin/admin

至此 SonarQube服务安装完成

2.3.9、常用命令

# 启动
sh sonar.sh start
# 关闭
sh sonar.sh stop

# service sonar start
# service sonar stop
# service sonar restart

# chkconfig sonar on
# chkconfig sonar off

三、创建项目

这里简述创建项目的过程

四、使用

下面将通过四种方式来使用SonarQube的代码扫描功能：

• 开发人员自查(选其一即可)
  • ①Idea安装SonarLint插件
  • ②Maven方式执行代码检测
  • ③SonarScanner方式执行代码检测
• 团队进行 Code Review
  • ④集成Jenkins执行代码检测

4.1、Idea安装SonarLint插件

File → Settings → Plugins → Marketplace → 搜索SonarLint

4.2、集成maven执行代码扫描

创建完项目后，我们选择maven方式构建，即可看到SonarQube给我们提供的maven扫描命令

mvn sonar:sonar \
-Dsonar.projectKey=项目名 \
-Dsonar.host.url=http://ip:9000 \
-Dsonar.login=令牌

4.2.1、使用方式

①进入到要扫描的代码目录，执行上面的maven命令即可。

②上面的命令中有些是固定的信息，如果每次执行扫描都需要输入则显的很麻烦，这里我们可以将某些信息配置到maven的setting.xml中

<profile>
  <id>sonar</id>
  <activation>
	<activeByDefault>true</activeByDefault>
  </activation>
  <properties>
	<sonar.host.url>http://ip:9000</sonar.host.url>
	<sonar.login>admin</sonar.login>
    <sonar.password>密码</sonar.password>
  </properties>
</profile>

在代码位置执行命令：

mvn sonar:sonar

执行完毕后在SonarQube页面即可看到扫描结果：

4.3、通过SonarScanner执行代码扫描

SonarQube提供了SonarScanner组件来帮助我们执行扫描，首先下载 4.6版本

下载之后是个压缩包，解压即可，为了方便使用，我们可以将解压后的目录下的bin目录加入到环境变量中，这样可以直接使用sonar-scanner命令了

打开SonarScanner的配置文件conf/sonar-scanner.properties，做如下修改：

# Default SonarQube Server
sonar.host.url=http://ip:9000
# Default source code encoding 
sonar.sourceEncoding=UTF-8
# 令牌
sonar.login=令牌

进入到待扫描的项目目录下，新建sonar-project.properties文件，内容如下：

sonar.projectKey=test
sonar.projectName=test
#sonar.projectVersion=1.0
#sonar.sources=./src
sonar.sourceEncoding=UTF-8
#sonar.language=java
sonar.java.binaries=.

然后在命令行执行sonar-scanner即可。

4.4、集成Jenkins执行代码扫描

4.4.1、Jenkins安装 SonarQube Scanner插件

系统管理 > 插件管理，搜索SonarQube Scanner插件并安装

4.4.2、Jenkins配置SonarQube

• ①开启Sonar Qube权限验证

• ②获取SonarQube的令牌

  在SonarQube web页面： 我的账号 → 安全

• ③配置Jenkins的SonarQube信息

  jenkins web页面：系统管理 → 系统配置 → SonarQube servers

4.4.3、配置Sonar-scanner

• ①下载 Sonar Scanner 4.6版本 放到服务器并解压

  这一步极其重要，jenkins部署项目时会调用其进行代码扫描

• ②将Sonar-scanner添加到Jenkins数据卷中并配置全局配置

  jenkins web页面：系统管理 → 全局工具配置 → SonarQube Scanner

• ③新建任务，并配置任务的Sonar-scanner

  构建

  sonar.projectName=${JOB_NAME}
  sonar.projectKey=${JOB_NAME}
  sonar.language=java
  sources=./
  sonar.java.binaries=target/
  

4.5、查看扫描结果

从jenkins点击链接跳转，或者直接访问SonarQube页面