sonarQube集成dependency-check

sonarqube集成dependency-check对项目中的依赖进行扫描分析

1.sonarqube添加插件:sonar-dependency-check

参考下载链接：https://github.com/dependency-check/dependency-check-sonar-plugin

2.安装插件

将插件放在sonarqube安装目录的/extensions/plugins下，然后重启sonarqube

安装成功后可以在配置中看到

3.项目生成报告

(1)下载dependency-check-7.0.0-release.zip，解压即可

进入dependency-check/bin/，执行命令

下载地址：Releases · jeremylong/DependencyCheck · GitHub

windows：dependency-check.bat

linux：dependency-check.sh

例如：dependeny-check.bat --project projectName -s F:\irms -o F:\irms\target

-s:需要扫描的jar包位置

-o:dependency-check-report.html存放位置

其余参数配置可参考官方文档：

dependency-check-cli – Command Line Arguments

(2) sonar-project.properties增加以下配置：

sonar.dependencyCheck.htmlReportPath=./dependency-check-report.html

sonar.dependencyCheck.summarize=true

sonar.dependencyCheck.securityHotspot=true

对于linux系统中
可以生成html报告在target目录下（我自己这里是使用Jenkins，生成在workspace下的项目构建后的target目录下），请根据自己需要参考配置对应的参数即可

4.查看dependency-check-report.html

执行sonar-scanner，成功后查看报告查看报告

5.补充信息

(1)另外一种方式集成dependency-check,即maven项目集成，需要在maven的项目依赖你添加dependency-check相应的依赖。

(2)执行dependency-check报错可参考

https://www.cnblogs.com/happylumei/p/16733739.html