DevOps实战系列【第九章】：详解Sonarqube搭建及集成Jenkins环境

已于 2022-12-18 12:32:42 修改
阅读量2.3k 收藏 7
点赞数 1
分类专栏： DevOps全栈技术 文章标签： jenkins devops 运维 sonarqube sonar
于 2022-12-16 17:58:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lijie1051/article/details/128345746
版权

个人亲自录制全套DevOps系列实战教程 ：手把手教你玩转DevOps全栈技术

在这里插入图片描述

质量安全审计：Sonarqube

Sonarqube(声呐)大家应该不陌生，通过扫描代码分析代码质量与代码安全，方便我们快速定位代码缺陷、潜在风险。

个人建议： 作为项目质量智能分析工具，他是个双刃剑，在公司规模足够大并且足够重视代码质量时，sonar会有一个不错的位置；当如果公司规模小型，并且公司不足以把重点放在代码质量上，那么sonar可能会成为拖后腿的工具，一句话就是是否有必要上sonar完全看公司的需求以及成本。

作用阶段： 我们讨论下sonar应该在什么阶段起作用

  • 代码开发阶段实时检测【sonarlint插件，为sonar 8.5版本后提供，需要集成到开发工具如Idea，配置时需要sonarqube服务支持，分析结果会提示在控制台，类似前端eslint作用】
  • 代码提交前进行sonar扫描【需集成到本地开发工具，如Idea或Eclipse】
  • 提交代码时进行sonar扫描【需集成到gitlab，如sonar-gitlab-plugin，也可结合Gitlab CI进行提交流程控制】
  • 构建代码时进行sonar扫描【需集成到jenkins,如SonarQube Scanner插件】
  • 由sonar定期自主扫描代码生成报告【可以用jenkins的定时job】

具体应该部署哪种方案，也需要大家根据自身情况适当选择，没有完美的方案，选择最适合自己的方案即可。

此处我们集成到jenkins做演示。其他方式大家有兴趣可以找我咨询。

Docker容器部署

官网：https://docs.sonarqube.org/latest/setup/install-server/

根据官方文档可知，sonar是支持docker部署的，并且非常简单，sonar默认使用H2数据库，我们也可以指定自己的mysql等数据库。

选用版本：8.9 该版本为LTS长期支持版本，从7.9版本开始sonar必须有jdk11支持并且不再支持Mysql数据库。sonar默认采用H2数据库。

官方推荐配置：SonarQube扫描器需要版本8或11的JVM，SonarQube服务器需要版本11和最少2G内存，具体大家可以官网看。

Sonar的社区版免费
在这里插入图片描述
Sonar包括3个组件： Scanner负责扫描代码并分析生成报告->报告交给Sonar服务进行计算->最终结果存入数据库。下边我们通过docker-compose方式启动sonar容器。

注意：sonar不能以root身份运行在基于Unix系统上，我们这里使用的是基于Debian内核，所以没问题。

# vi /docker/sonarqube/docker-compose.yml
# 此处我们使用默认的H2数据库，如果外接数据库，可参考官网docker-compose.yml文件
version: "3"
services:
  sonarqube:
    # 使用一下私服拉取
    image: 10.10.1.199:9083/sonarqube:8.9-community
    restart: always
    container_name: 'sonarqube'
    hostname: 'sonarqube'
    networks:
      - 'exist-net-bloom'
    volumes:
      # 配置文件
      - '/docker/sonarqube/conf:/opt/sonarqube/conf'
      # 保存H2数据和ES索引文件
      - '/docker/sonarqube/data:/opt/sonarqube/data'
      # 保存第三方插件
      - '/docker/sonarqube/extensions:/opt/sonarqube/extensions'
      # 日志
      - '/docker/sonarqube/logs:/opt/sonarqube/logs'
    ports:
      - "9097:9000"
networks:
  exist-net-bloom:
    external:
      name: devops
      
# 如果需要自行修改配置，比如使用其他数据库等，可以在conf目录增加sonar.properties配置文件，具体可到官方获取
# 官方下载地址：https://www.sonarqube.org/downloads/

访问：10.10.1.199:9097，注意以上docker-compose.yml并未指定上下文，默认为/，可以自行指定。

在这里插入图片描述
输入：admin，admin即可
在这里插入图片描述
不过下边有一个黄色警告，他的意思是嵌入式数据库应该只用于测试不能用于生产，那样不利于扩展，并且不支持升级到最新版本的sonarqube，我们这里用的默认H2所以会有提示，如果大家想尝试连接自己的数据，当然不能是Mysql，如果要用mysql可以使用7.9以下的版本，如果要使用单独数据库，通过docker-compose.yml指定几个环境变量就行了：

environment:
SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonar
SONAR_JDBC_USERNAME: sonar
SONAR_JDBC_PASSWORD: sonar

中文插件安装：

在这里插入图片描述
结果安装失败了，点击按钮后，页面无反应
在这里插入图片描述
报错原因是到github上下载插件失败，超时了：docker logs -f sonarqube 可看到报错日志，那理所当然我们认为是网络问题，手动下载，地址如下：https://github.com/xuhuisheng/sonar-l10n-zh/releases/download/sonar-l10n-zh-plugin-8.9/sonar-l10n-zh-plugin-8.9.jar

诡异的事情：出于好奇，想到当前用的H2，会不会跟这个有关呢？于是我尝试了使用postgresql[结果出乎意料]

version: "3"
services:
sonarqube:
 # 使用一下私服拉取
 image: 10.10.1.199:9083/sonarqube:8.9-community
 restart: always
 container_name: 'sonarqube'
 hostname: 'sonarqube'
 networks:
      - 'exist-net-bloom'
    volumes:
      # 配置文件
      - '/docker/sonarqube/conf:/opt/sonarqube/conf'
      # 保存H2数据和ES索引文件
      - '/docker/sonarqube/data:/opt/sonarqube/data'
      # 保存第三方插件
      - '/docker/sonarqube/extensions:/opt/sonarqube/extensions'
      # 日志
      - '/docker/sonarqube/logs:/opt/sonarqube/logs'
    depends_on:
      - postgressql
    environment:
      # 避免ip变更，使用hostname连接
      SONAR_JDBC_URL: jdbc:postgresql://postgressql:5432/sonar
      SONAR_JDBC_USERNAME: sonar
      SONAR_JDBC_PASSWORD: sonar
    ports:
      - "9097:9000"

  postgressql:
    image: 10.10.1.199:9083/postgres:12
    restart: always
    container_name: 'postgressql'
    hostname: 'postgressql'
    environment:
      POSTGRES_USER: sonar
      POSTGRES_PASSWORD: sonar
    volumes:
      - '/docker/sonarqube/postgresql:/var/lib/postgresql'
      - '/docker/sonarqube/postgresql/data:/var/lib/postgresql/data'
    networks:
      - 'exist-net-bloom'
networks:
  exist-net-bloom:
    external:
      name: devops


# 删除原有容器
docker-compose down
# 重新启动容器
docker-compose up -d

启动sonar报错:

ERROR: [1] bootstrap checks failed. You must address the points described in the following [1] lines before starting Elasticsearch.
bootstrap check failure [1] of [1]: max virtual memory areas vm.max_map_count [65530] is too low, increase to at least [262144]
ERROR: Elasticsearch did not exit normally - check the logs at >/opt/sonarqube/logs/sonarqube.log

解决方法： 在宿主机的/etc/sysctl.conf中增加该配置即可，注意因为容器也是复用宿主的系统配置，所以直接改宿主机即可。

vi /etc/sysctl.conf  # 新增如下配置
vm.max_map_count=262144

# 更新启动容器
docker-compose up -d

在这里插入图片描述
出乎意料，安装成功了！！！

这。。。,就不是github网络问题吧？

推测：其实还有一个问题，就是下载插件后无法保存到插件目录，即无法保存到/opt/sonarqube/extensions/plugins，因为被映射到宿主机了，如果无权写数据也可能会超时，所以修改宿主机目录权限：chmod -R 777 /docker/sonarqube/extensions
在这里插入图片描述
那为什么H2数据库就不行，PostgreSQL就可以呢？

我查了下文档，并没有找到答案，可能这就是亲儿子效应吧，H2都不推荐你用你非要用，出问题了吧 。。。，还是乖乖用PostgreSQL才是王道啊！

Sonar客户端配置

由官网文档得知，客户端需要使用Scanner工具完成扫描和上报(sonar早期版本还单独提供有sonarqube runner工具，和scanner类似)，并且Scanner有多重实现方式

官方地址：https://docs.sonarqube.org/8.9/analysis/overview/

在这里插入图片描述

我们这里演示两种方式：Maven和Jenkins

  • Springboot工程本地集成Scanner插件
  • Jenkins集成Scanner插件
Maven配置

既然是maven当然可以配置到全局settings.xml，也可以配置到springboot项目的pom.xml中。

注意：我们的sonar是需要登录的，所以事先我们先把token生成一下，直接使用用户名密码也可以，用token可以防止密码泄露
在这里插入图片描述
配置到settings.xml

<settings>
    <pluginGroups>
        <pluginGroup>org.sonarsource.scanner.maven</pluginGroup>
    </pluginGroups>
    <profiles>
        <profile>
            <id>sonar</id>
            <activation>
                <activeByDefault>true</activeByDefault>
            </activation>
            <properties>
                # 指定token，如果使用用户名密码，需要增加<sonar.password>属性
                <sonar.login>0226e22e60902a670f8c706e12e5ceee86c51f9e</sonar.login>
                <sonar.host.url>http://10.10.1.199:9097</sonar.host.url>
            </properties>
        </profile>
     </profiles>
</settings>

配置到Springboot项目的pom.xml

<build>
  <pluginManagement>
    <plugins>
      <plugin>
        <groupId>org.sonarsource.scanner.maven</groupId>
        <artifactId>sonar-maven-plugin</artifactId>
        <version>3.7.0.1746</version>
      </plugin>
    </plugins>
  </pluginManagement>
</build>
<profiles>
  <profile>
    <id>sonar</id>
    <activation>
      <activeByDefault>true</activeByDefault>
    </activation>
    <properties>
       <sonar.login>0226e22e60902a670f8c706e12e5ceee86c51f9e</sonar.login>
       <sonar.host.url>http://10.10.1.199:9097</sonar.host.url>
    </properties>
  </profile>
</profiles>

测试： 在工程根目录执行 mvn sonar:sonar
在这里插入图片描述
错误：你的工程包含java文件，请使用sonar.java.binaries属性指定class文件目录或使用sonar.exclusions属性排除java文件。

# 修正后执行命令，也可以在pom.xml中增加该属性
mvn sonar:sonar -Dsonar.java.binaries=target/

# 关于属性大家可以到官网查看：https://docs.sonarqube.org/8.9/analysis/analysis-parameters/

在这里插入图片描述

覆盖率：

这里延伸一下sonar覆盖率的概念，他会在scanner之前将汇总报告生成到target目录，然后由scanner一起上报给sonar服务。

覆盖率的概念是单元测试的覆盖面囊括了我们源代码的比例，更多的在测试中使用。

我们看图中覆盖率是0，其实覆盖率要生效需要使用另一个插件，对于java代码的统计汇总需要的是jacoco，其他语言大家也可参考官网：https://docs.sonarqube.org/8.9/analysis/coverage/

<plugin>
<groupId>org.jacoco</groupId>
<artifactId>jacoco-maven-plugin</artifactId>
<version>0.8.6</version>
<configuration>
 <!--指定生成.exec文件的存放位置-->
 <destFile>target/coverage-reports/jacoco-unit.exec</destFile>
 <!--Jacoco是根据.exec文件生成最终的报告，所以需指定.exec的存放路径-->
 <dataFile>target/coverage-reports/jacoco-unit.exec</dataFile>
 <!-- 如果以上都不指定，默认jacoco-unit.exec会存入target/目录，report也会从target目录读取-->
 <!-- 并且report会将报告存入target/site/jacoco/index.html -->
</configuration>
<executions>
 <execution>
   <id>jacoco-prepare-agent</id>
   <goals>
     <goal>prepare-agent</goal>
   </goals>
 </execution>
 <execution>
   <id>jacoco-report</id>
   <!-- 指定生成报告的maven目标 -->
   <phase>verify</phase>
   <goals>
     <goal>report</goal>
   </goals>
 </execution>
</executions>
</plugin>


# 执行先生成覆盖率报告，在scanner扫描
mvn clean verify sonar:sonar
Jenkins改造

在这里我们主要演示让sonar集成到jenkins，这样jenkins不论是单独的定时任务job还是目前我们demo项目的job，都可以进行按需的分析代码。

我们还是以demo为例，目标：maven构建打包的同时进行sonar分析完成扫描代码并上报。

思考：jenkins需要修改吗？要怎么修改？有几种方案？不修改行吗？

  • 不修改： 当然行，因为demo工程的pom.xml已经配置了Sonar Scanner，可以通过mvn命令直接使用
    缺点：没有配置Scanner的其他job无法实现通过Scanner扫描上报
  • 修改方案1： 给jenkins中的maven配置文件settings.xml做全局配置
    缺点：由于settings.xml配置能力有限，有些特殊配置无法实现
  • 修改方案2： 与Maven集成Jenkins类似，将Sonarqube-Scanner的安装包装入容器，然后全局工具中配置，再安装对应的jenkins插件，这样在job中就可以单独去使用Scanner功能了，而不必依赖于job个体。
第一个方案很简单：

只需要将job的Maven构建脚本改成：-DskipTests=true clean package verify sonar:sonar

打包后进行Scanner扫描上报Sonar。
在这里插入图片描述

根据jenkins日志片段可知，Scanner已经生效了，并且将代码扫描后上传到了Sonar服务器，此时我们打开Sonar控制台也可以看到上报的demo工程。

我们可以修改下工程中代码并且提交gitlab，在用jenkins重新构建，可以发现sonar的新上报。

第三种方案：

Jenkins中彻底集成Scanner 【第二种也比较简单，大家自行验证下，我试了是没问题的】

①首先下载Scanner安装包：
以下哪个地址能下用哪个，我下载的是：sonar-scanner-cli-4.7.0.2747-linux.zip

官方地址：https://docs.sonarqube.org/8.9/analysis/scan/sonarscanner/

二进制地址：https://binaries.sonarsource.com/?prefix=Distribution/sonar-scanner-cli/

注意需要使用：unzip解压，如果要构建到Dockerfile，则需先通过yum install -y unzip，我这里直接贴出来Dockerfile文件

这里我们就不把他构建到Dockerfile了，而是直接解压到jenkins根目录，根目录已经映射出来，所以操作也很方便

包括jdk、git、maven如果大家觉得没必要打入镜像，都可以这样操作。

②将安装包解压到/docker/jenkins/home目录

# apt install unzip 我用的omv是基于Debian
yum install -y unzip 
# 解压
unzip sonar-scanner-cli-4.7.0.2747-linux.zip
# 改下文件夹名字
mv sonar-scanner-4.7.0.2747-linux sonar-scanner


③Jenkins中安装sonar插件：【SonarQube Scanner For Jenkins】
在这里插入图片描述
配置sonar路径：系统管理 -> 系统配置 -> SonarQube servers
在这里插入图片描述
④全局配置工具：设置sonar-scanner环境目录
在这里插入图片描述
⑤修改job配置：在maven构建之后增加sonar scanner，即放在推送镜像到私服环节之前
在这里插入图片描述
添加后我们什么都不配运行看下效果：
在这里插入图片描述
依次尝试后，我们把必要参数全部配置好：
在这里插入图片描述
再看sonarqube控制台，已经发布上来了。
在这里插入图片描述

上树的蜗牛儿
关注
专栏目录
【DevOps】Git+Sonarqube：Gitlab集成sonarQube，实现自动扫描代码（不包含代码覆盖率配置）
CN_Eden
07-02 4417
一、环境信息 服务 版本号 Docker 20.10 sonarQube 7.9.6 PostgreSQL 13 GitLab 13.5.7 GitLab-runner 13.2.4 注： ① 以上环境全部以docker安装在CentOS 7.9 系统上 ② sonarQube 在 7.6 版本后不支持插件 `sonar-gitlab-plugin`，若使用 7.6 之后的版本，将无法实现 sonarQube 与 GitLab 协作（除非使用付费版） ③ sonar
Jenkins流水线集成Sonarqube
cnzzs的博客
08-11 692
1 环境准备1.1 安装sonarqube/app/module/sonarqube1.2 安装sonar-scanner/app/module/sonar-scanner1.3 安装SonarQube Scanner插件略1.4 Jenkins配置sonar凭据1.5 Jenkins配置Sonarqube服务地址1.6 ...
jenkins集成sonarqube
u010924720的专栏
12-07 1281
jenkins集成sonarqube
Sonar：代码质量与持续集成的完整指南
weixin_42181686的博客
09-29 1382
本文还有配套的精品资源，点击获取 简介：本书详细介绍了Sonar，一个集成了代码质量管理与持续集成功能的工具，旨在帮助读者全面理解和高效使用Sonar。Sonar的核心功能涵盖了从代码质量管理到技术债务管理的各个方面。书中包括Sonar的安装、配置、模块使用、报告和可视化，以及如何集成到CI/CD流程中。最后，提供最佳实践来提升代码质量与团队协作效率。 1. So...
Sonarqube集成到Jenkins-2
weixin_42562106的博客
06-17 342
Sonarqube配置 创建令牌 点击继续 选择需要扫描的代码 最后看提示都明白拉 接下Jenkins配置 下载scanner-cli wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-4.3.0.2102.zip 我的是docker运行的命令如下: docker run -d --name myjenkins -p 8000:8080 -p 50000:50000 -v
Jenkins集成Sonar Qube
南宫乘风-Linux运维-虚拟化容器-Python编程 ownit.top
05-17 1万+
前文目录 Jenkins安装部署使用_南宫乘风的博客-CSDN博客 Jenkins入门配置_南宫乘风的博客-CSDN博客 Sonar Qube介绍 Sonar Qube是一个开源的代码分析平台，支持Java、Python、PHP、JavaScript、CSS等25种以上的语言，可以检测出重复代码、代码漏洞、代码规范和安全性漏洞的问题。 Sonar Qube可以与多种软件整合进行代码扫描，比如Maven，Gradle，Git，Jenkins等，并且会将代码检测结果推送回Sonar Qube并且在系统
Jenkins集成SonarQube
weixin_37046949的博客
07-29 292
1 什么是sonarqubesonarQube是一个开源的代码质量管理系统，用于检测代码中的错误、bug，它可以与jenkins集成，进行自动化代码质量扫描官网：https://www.sonarqube.org/ 2 使用sonarqube的前提sonarqube基于java开发所以需要安装JDK1.8版本。SonarQ...
13.Jenkins集成sonarqube
JCWang的博客
02-23 1876
4.jenkins服务器上需要先安装sonar-scanner,然后在全局工具管理中配制sonarqube scanner。2.jenkins要知道sonarqube服务端是谁，需要配置（系统管理–系统配置–sonarqube–添加一个即可）3.添加一个token，此处的token就是之前在sonarqube上生成的令牌。1.在jenkins插件管理中安装sonarqube scanner。下面以基于tags的方式发布为例，在项目中引入sonarqube。6.然后就会看到集成的sonarqube。
【DevOps实战|基于Jenkins与Gitlab构建企业级持续集成环境系统】（Jenkins+Gitlab+Keepalived+Haproxy+Sonarqube+Http+灰度自动部署）
wei的博客
01-17 2490
（Jenkins+Gitlab+Keepalived+Haproxy+Sonarqube+Http+灰度自动部署）详细完整+手机电脑浏览器访问你的外网linux的web服务器+花生壳配置linux实现内网穿透+解决the change you requested was rejected.gitlab版本回滚，递归回滚，跨版本回滚解决configure: error: !!! OpenSSL is not properly installed on your system. !!!
Docker搭建DevOps实践：GitLab+GitLabRunner+SonarQube+Jenkins
"这篇文章主要介绍了如何使用Docker搭建一套基于DevOps的工作流程，包括GitLab、GitLabRunner、SonarQube和Jenkins的安装与配置。" 在DevOps领域，Docker因其轻量级虚拟化特性，常被用于快速部署和管理应用程序。本...
DevOps培训实验手册：从环境搭建到工具应用
最新发布
10-02
内容概要：本手册介绍了DevOps相关的技术工具与平台的实验指南，覆盖了包括 SVN、Docker、GitLab、Jenkins、SonarQube、Nexus在内的版本控制、CI/CD流水线搭建等方面的知识。书中详细介绍每个工具有何用途，并指导...
Sonarqube+jenkins持续集成
07-11
整合Sonarqube+jenkins 搭建开源持续集成环境。Sonarqube一款很实用的代码检查工具，包括findbugs、chechstyle、编码规范等等。还可以集合eclipse进行代码检查
devops-ci-env:使用 DockerGerritGitLabJenkins 创建持续集成环境的脚本
06-02
devops-ci-env 创建持续集成环境的脚本使用 Docker/Gerrit/GitLab/Jenkins/
Jenkins集成Sonar
细雨落午盏
09-05 2670
Jenkins集成Sonar配置流程
Jenkins 集成 Sonar
热门推荐
kefeng.wang 的博客
01-12 1万+
通常，单一的 Jenkins 对于项目的持续集成够用了。本文总结另外一种流行方案，Jenkins 与 Sonar 集成：Sonar 是 Jenkins 之外独立运行的一个服务。Jenkins 中安装插件 SonarQube(并配置其 Sonar Server 的访问信息)，构建完毕后，该插件把报告数据提交给 Sonar Server 解析，Sonar Server 最终以量化图形方式展示代码质量变化。
sonar与jenkins的集成
weixin_42323357的博客
09-08 1602
所有工具的配置和使用都是在centos环境下进行的 前提条件： 1。我已经完成了gitlab和jenkins的集成，实现gitlab执行push操作后，jenkins会触发脚本命令，生成一个以当前时间命名的文件。 2。sonar已经安装完成 如果前两部没有完成，可以看之前的博客流程 首先启动sonar 进入sonar目录 使用非root用户启动sonar cd /software/sonarqube/bin/linux-x86-64 ./sonar.sh start 进入sonar页面和jenkins页面
13、SonarQube整合jenkins
分享java学习路上的一些笔记，不足之处多多见谅。
06-10 352
若是点击添加没有反应的话则刷新一下或者应用后再重新进一下 我们的jenkins登录sonarqube的凭据我们使用之前的token，若是忘记了也可以重新自己去sonarqube重新生成一下
Jenkins集成 SonarQube
人丑就要多读书的博客
10-27 6628
一、SonarQube基本概述 1.1 什么是SonarQube SonarQube 是一个开源的代码质量管理系统，用于检测代码中的错误、漏洞。它可以与 Jenkins 集成，让我们 能自动化进行代码质量扫描。 1.2 使用Sonarqube环境 1.SonarQube基于Java开发，所以需要安装 OpenJDK8 版本。 2.SonarQube需要依赖 MySQL 数据库，至少 5.6 版本以上。 3.SonarQube的小型实例至少需要4GB 内存，如果是大型实例需要 16GB 1.3 SonarQ
sonarqube安装以及jenkins集成sonarqube
javascript_good的博客
06-30 3282
docker 方式安装是最简便的，我选择了这个安装方式1、下载镜像2、 创建挂载目录3、运行容器4、通过ip 端口访问：http://ip:9090。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

上树的蜗牛儿

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值