持续集成（CICD）-- sonar代码审查（静态扫描）

一、sonar作用

当我们开发的代码结合Jenkins之后，对应的代码也会存在对应的工作空间当中，这时候我们可以利用工具对代码进行静态代码扫描来析或检查源程序的语法、结构、过程、接口等来检查程序的正确性。

二、sonar组成

SonarQube（分析器）：SonarQube是Sonar生态系统中的核心组件，是一个开源的代码质量管理平台。它提供了强大的代码分析功能，可以检测代码中的各种问题，包括代码复杂性、潜在的错误、重复代码等。
SonarScanner（扫描器）：用于将代码提交到SonarQube进行分析的工具

三、SonarQube

1、安装SonarQube服务

可以进入到对应的官网：https://www.sonarqube.org/进行下载，因为版本是9.7的版本一定注意jdk的版本尽量使用11的，否则可能会无法使用。

2、启动Sonar服务

下载完成之后是一个压缩文件，解压之后；可以在bin文件夹里面根据自己的操作系统进行使用即可。
**步骤一：**cmd 进入到 bin路径：输入StartSonar.bat

**步骤二：**浏览器输入127.0.0.1:9000
默认用户名和密码： admin 、 admin
注：第一次登录会提示你修改密码，正常进行修改即可；

3、SonarQube 进行汉化

启动之后 —>Administration—>Marketplace—>点击【I understand the risk】按钮—>Chinese Pack

四、 安装SonarScanner扫描器

SonarScanner是在构建系统没有特定扫描器时使用的扫描器。用于将代码提交到SonarQube进行分析的工具

1、安装SonarScanner

可以进入到对应的官https://docs.sonarqube.org/latest/analysis/scan/sonarscanner/进行下载

2、SonarScanner使用

方式一：通过命令行去操作

通过Jenkins进入到构建窗口（注意这一步需要在运行代码之前），输入如下命令

<sonar-scanner.bat/sonar-scanner.sh的绝对路径> -D"sonar.projectKey=<扫描项目名(自定义)>" -D"sonar.host.url=<Sonar的服务地址>" -D"sonar.login=<Sonar的服务用户名>" -D"sonar.password=<Sonar的服务密码>"

Build now构建项目：

方法二：通过插件实现（重点）

第一步：查看Jenkins是否已经安装好扫描器的插件： SonarQube Scanner ，没有安装的话要进行安装

第二步：进入到【系统管理Manage Jenkins】—>【全局工具配置（Global Tool Configuration）】，添加信息如下：
1、配置如下：SonarScanner for MSBuild
2、配置如下：SonarQube Scanner
第三步：配置对应的凭证信息
A. 进入到Jenkins【系统管理】—>【配置】—> SonarQube servers
B. 进入到Gogs页面获取对应的令牌信息
注意：生成的 sonar 凭证 进可以看见一次，所以千万记得保存，别到时候又不见了.
比如：sqa_50bcf31b973a4642e92f387753fc5c85b1219930。
C. 回到Jenkins页面添加凭证
第四步：进入到【开发项目】—>构建—>Execute SonarQube Scanner 【注意构建的顺序：比如部署构建的代码要在扫描之后】
运行结果：