代码审计sonarqube实战

介绍：
1.sonar是一款静态代码质量分析工具，支持Java、Python、PHP、JavaScript、CSS等25种以上的语言，而且能够集成在IDE、Jenkins、Git等服务中，方便随时查看代码质量分析报告；

2.sonar通过配置的代码分析规则，从可靠性、安全性、可维护性、覆盖率、重复率等方面分析项目，风险等级从A~E划分为5个等级；

同时，sonar可以集成pmd、findbugs、checkstyle等插件来扩展使用其他规则来检验代码质量；

组成：
1.一台SonarQube Server启动3个主要过程：

1. Web服务器，供开发人员，管理人员浏览高质量的快照并配置SonarQube实例
2. 基于Elasticsearch的Search Server从UI进行后退搜索
3. Compute Engine服务器，负责处理代码分析报告并将其保存在SonarQube数据库中

2.一个SonarQube数据库要存储：

1. SonarQube实例的配置（安全性，插件设置等）
2. 项目，视图等的质量快照。
3. 服务器上安装了多个SonarQube插件，可能包括语言，SCM，集成，身份验证和管理插件
4. 在构建/持续集成服务器上运行一个或多个SonarScanner，以分析项目；

windows版测试
一.首先下载sonarqube，社区版就可以
下载地址： https://www.sonarqube.org/downloads/
下载好sonarqube后，解压打开bin目录，启动相应OS目录下的StartSonar。如本文演示使用的是win的64位系统，则打开


2.启动浏览器，访问http://localhost:9000，如出现登录页则表示安装成功。

默认账号密码 admin/admin

二.数据库配置 (不配置也可以使用)

1. 打开mysql，新建一个数据库sonar。
2. 打开sonarqube安装目录下的conf\sonar.properties文件
3. 输入以下数据库信息：

sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8&rewriteBatchedStatements=true&useConfigs=maxPerformance
sonar.jdbc.username=root
sonar.jdbc.password=root
sonar.sorceEncoding=UTF-8
sonar.login=admin
sonar.password=admin

其中：url是数据库连接地址，username是数据库用户名，jdbc.password是数据库密码，login是sonarqube的登录名，sonar.password是sonarqube的密码
5. 重启sonarqube服务，再次访问http://localhost:9000，会稍微有点慢，因为要初始化数据库信息，重启时候有可能一直卡在那里，重启服务不生效，这时候可以重启电脑，然后再次访问http://localhost:9000，会发现配置生效。
6. 数据库初始化成功后，登录

三、按照下图的点击顺序，进入插件安装页面，搜索框搜索chinese,选择中文包，安装中文插件，安装之后，会自动提醒重启服务，点击重启，重启完之后，刷新，就看到中文版的页面

注意：搜索框上边有个同意按钮，点了按钮才可以安装

下载扫描仪配合使用
下载地址: https://docs.sonarqube.org/latest/analysis/scan/sonarscanner/
下载完解压缩，将bin目录加入环境变量

使用：
在醒目文件夹下执行

后边代码构建项目时会有提示直接复制出来就行