Jenkins+sonar实现代码扫描

最新推荐文章于 2024-05-12 02:47:34 发布
最新推荐文章于 2024-05-12 02:47:34 发布
阅读量3.6k 收藏 20
点赞数
分类专栏： Jenkins 文章标签： jenkins
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wc1695040842/article/details/106808258
版权

一、Sonar的作用

Sonar是一个用于代码质量检查的开源工具，采用B/S架构，帮助检查代码缺陷，改善代码质量，提高开发速度。可以从七个维度检查代码质量：

  • 复杂度分布(complexity)：代码复杂度过高将难以理解；
  • 重复代码(duplications)：程序汇总包含大量复制、粘贴的代码导致代码臃肿，sonar可以展示源码中重复严重的地方；
  • 单元测试统计(unit tests)：统计并展示单元测试覆盖率，开发或者测试可以清楚测试代码的覆盖情况；
  • 代码规则检查(coding rules)：通过Findbugs，PMD，CheckStyle等检查代码是否符合规范；
  • 注释率(comments)：若代码注释过少，特别是人员变动后，其他人接收比较难；若注释过多，又不利于阅读；
  • 潜在的Bug(potential bugs)：通过Findbugs，PMD，CheckStyle等检测潜在的bug；
  • 结构与设计(architecture & design)：找出循环、展示包与包、类与类之间的依赖、检查程序之间的耦合度；

Sonar通过插件形式，可以支持Java、C/C++、JavaScripts等等二十几种语言的代码质量管理和检测。

通过客户端插件分析源代码，sonar客户端可以采用IDE插件、Sonar-Scanner插件、Ant插件和Maven插件方式，并通过各种不同的分析机制对项目源码进行分析和扫描，并把分析扫描后的结果上传到sonar数据库，通过sonar web界面对分析结果进行管理。

二、SonarQube平台的组成

SonarQube平台由4个组件组成。

1、SonarQube Server，启动3个主要程序：

  • Web Server，供开发、管理人员浏览高质量的快照并配置SonarQube实例；
  • SearchServer based on Elasticsearch，执行来自页面的查询请求；
  • Compute EngineServer，处理代码分析报告并将其保存在SonarQube数据库中；

2、一个用来存储的SonarQube数据库：

  • SonarQube实例的配置（安全性，插件设置等）；
  • 项目，视图等的质量快照；

3、SonarQube插件

  • 服务器上安装了多个SonarQube插接，可能包括language, SCM, integration, authentication, and governance 插件；

4、在构建/持续集成服务器上运行一个或多个SonarScanner，以分析项目；

三、环境

1、服务器列表
服务器IP系统安装组件
192.168.0.111CentOS7.6Jenkins-2.213，sonarqube-8.3.1.34397，sonar-scanner-cli-4.3.0.2102
192.168.0.123CentOS7.6Gitlab
192.168.0.125CentOS7.6PosterSQL

Jenkins和Gitlab这边不再赘述安装过程。

2、安装包
  • sonarqube安装包：https://binaries.sonarsource.com/Distribution/sonarqube/sonarqube-8.3.1.34397.zip
  • cli安装包：https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-4.3.0.2102-linux.zip

下载好安装包之后，上传至服务器中。

我这边也是将这两个安装包上传到了百度云上。

3、JDK和数据库版本要求

这里需要特别说明一下，每个版本sonarqube的官方介绍说明还是要好好看一下的。不同版本的sonarqube所支持的JDK和数据库也不同。

从7.9版本开始的变化非常大：

  • 不再支持MySQL数据库
  • JDK的最低要求为11

官网查看一下，其实已经写的很清楚了：
在这里插入图片描述

所以这里选择用PosterSQL 12作为数据库，详细安装步骤在后续的步骤中。

由于之前安装Jenkins时用的JDK8，所以还需要安装一个JDK11，但是不用去修改环境变量，等等修改sonarqube的配置文件制定JDK的目录即可。

四、安装PostgreSQL

PostgreSQL的安装，其实已经在之前的PostgreSQL-12安装和简单操作中讲的很详细了，有需要的可以移步过去，但是为了方便，我还是把安装的这一部分给拷贝过来吧。

1、安装
# 添加yum源
$ yum -y install https://download.postgresql.org/pub/repos/yum/12/redhat/rhel-7-x86_64/pgdg-redhat-repo-latest.noarch.rpm

# 安装PostgreSQL
$ yum -y install postgresql12 postgresql12-server postgresql12-contrib

# 检查版本信息
$ psql --version
psql (PostgreSQL) 12.3
2、初始化数据库

这里需要注意一下，初始化的时候可以指定postgresql的数据目录哦！

1）使用默认数据目录

yum安装的postgresql的默认数据目录为/var/lib/pgsql/12/data，直接初始化就行

/usr/pgsql-12/bin/postgresql-12-setup initdb

2）使用自己规划好的数据目录

如果已经规划好别的数据目录，可以在初始化的时候用-D参数指定数据目录。

# 新建数据目录
mkdir -p /data/postgresql/data

# 授权
chown -R postgres:postgres /data/postgresql/data

# 切换到postgres用户，初始化
$ su - postgres
-bash-4.2$ /usr/pgsql-12/bin/initdb -D /data/postgresql/data

# 修改postgresql的system.service文件
vim /usr/lib/systemd/system/postgresql-12.service
Environment=PGDATA=/data/postgresql/data/

# 重新加载系统服务
systemctl daemon-reload
3、修改访问权限

要允许远程登录，需要修改配置文件中的监听ip和认证方式。

vim postgresql.conf

# 修改监听的ip和端口
listen_addresses = '*' 


vim pg_hba.conf

#新增下面一行
host all all 0.0.0.0/0 password
4、启动 postgresql 服务
systemctl enable postgresql-12
systemctl start postgresql-12
systemctl status postgresql-12

postgresql会自动完成以下操作：

  • 自动生成一个linux系统用户postgres：管理数据库的系统用户

  • 数据库用户postgres：数据库超级管理员

  • 此用户的默认数据库为postgres

  • 可有修改下默认postgres数据库用户的密码：

    $ su - postgres    
-bash-4.2$ psql 
psql (12.3)
Type "help" for help.

postgres=# alter role postgres with password '123456';
ALTER ROLE
5、创建sonarqube数据库并授权
$ su - postgres
-bash-4.2$ psql 

# 建立新的数据库用户sonar
create user sonar with password 'sonar';

# 为新用户建立数据库
create database sonarqube owner sonar;

# 把新建的数据库权限赋予新用户
grant all privileges on database sonarqube to sonar;

五、安装SonarQube

以下操作将在192.168.0.111上执行。

1、修改系统配置参数

在linux系统中，必须保证以下要求：

  • vm.max_map_count 大于或等于262144
  • fs.file-max 大于或等于65536
  • 运行SonarQube的用户可以打开至少65536个文件描述符
  • 运行SonarQube的用户可以打开至少4096个线程

按要求修改：

vim /etc/sysctl.conf

#修改下面两个参数
vm.max_map_count=262144
fs.file-max=65536


vim /etc/security/limits.conf

#增加下面两行
sonar   -   nofile   65536
sonar   -   nproc    4096

#使生效
$ sysctl -p
2、新建普通用户sonar

因为sonar里面包含了elasticsearch，所以安装的时候需要用普通用户，不然会报错can not run elasticsearch as root。所以这里新建一个普通用户sonar。

$ useradd sonar
$ passwd sonar

赋予sonar用户sudo权限

$ visudo
#增加下面这行
sonar   ALL=(ALL)       ALL
3、解压

以下操作在刚刚创建的普通用户sonar下进行。

$ cd /home/sonar
$ unzip sonarqube-8.3.1.34397.zip 
$ mv sonarqube-8.3.1.34397 sonarqube
4、修改sonarqube配置文件

以下操作在刚刚创建的普通用户sonar下进行。

1）修改数据库连接信息

vim /home/sonar/sonarqube/conf/sonar.properties

#修改sonarqube的数据库连接
sonar.jdbc.username=sonar
sonar.jdbc.password=sonar
sonar.jdbc.url=jdbc:postgresql://192.168.0.125/sonarqube


#修改持久数据文件(嵌入式数据库和搜索索引)和临时文件路径。可以是绝对路径，也可以是相对路径。默认是相对路径的data和temp。
#我这里用的是默认的目录，实际应用中，最好是在较大的分区中新建一个目录来存放这些数据。提醒一下，新建好目录之后，需要给sonar用户授权
sonar.path.data=data
sonar.path.temp=temp

2）修改使用的jdk

vim /home/sonar/sonarqube/conf/wrapper.conf

#修改wrappe.conf使用jdk11
wrapper.java.command=/usr/local/jdk-11.0.7/bin/java
5、新增sonar的systmed服务
cat > /etc/systemd/system/sonarqube.service << EOF
[Unit]
Description=SonarQube service
After=syslog.target network.target

[Service]
Type=forking
User=sonar
Group=sonar
PermissionsStartOnly=true
ExecStart=/home/sonar/sonarqube/bin/linux-x86-64/sonar.sh start
ExecStop=/home/sonar/sonarqube/bin/linux-x86-64/sonar.sh stop
StandardOutput=syslog
LimitNOFILE=65536
LimitNPROC=8192
TimeoutStartSec=5
Restart=always

[Install]
WantedBy=multi-user.target
EOF
6、启动sonarqube
systemctl daemon-reload
systemctl enable sonarqube
systemctl start sonarqube
systemctl status sonarqube

启动之后，用浏览器访问192.168.0.111:9000
在这里插入图片描述

点击右上角的login，默认用户名密码为admin/admin。
在这里插入图片描述

六、sonar-scanner安装

$ cd /home/sonar
$ unzip sonar-scanner-cli-4.3.0.2102-linux.zip
$ mv sonar-scanner-4.3.0.2102-linux sonar-scanner

修改sonar-scanner配置文件

vim /home/sonar/sonar-scanner/conf/sonar-scanner.properties

sonar.host.url=http://localhost:9000
sonar.sourceEncoding=UTF-8

七、配置环境变量

切回到root用户进行添加。

$vim /etc/profile

#set sonar-quebe and sonar_runner_home
export SONAR_HOME=/home/sonar/sonarqube
export SONAR_RUNNER_HOME=/home/sonar/sonar-scanner
export PATH=$PATH:$SONAR_HOME/bin/linux-x86-64:$SONAR_RUNNER_HOME/bin

#使配置生效
$ source /etc/profile

八、安装插件

这里主要安装一个中文插件，安装的方法也很简单，直接在页面上操作就行。

点击Administration–>Marketplace，然后在Plugins的搜索框中输入chinese进行搜索，然后点击Install进行安装。
在这里插入图片描述
安装完成之后，会提醒重启服务
在这里插入图片描述
点击Restart Server进行服务重启。重启完之后，刷新一下浏览器，发现已经变成中文了。
在这里插入图片描述

九、Jenkins构建

1、首先在Jenkins中安装对应的插件
在这里插入图片描述

2、添加用户

在配置之前，需要在sonar的web中添加一个连接用户。
在这里插入图片描述
这里创建了一个名为testuser的用户，把秘钥复制下来。然后来到Jenkins中的系统管理–>系统配置，在SonarQube servers这一栏中填入相关参数：
在这里插入图片描述

最后的token那里是点击右边的添加进行添加的，创建一个全局凭证，类型选择Secret text，并在Secret中填入刚才生成的令牌。如下：
在这里插入图片描述
注意，这里的Server URL，应该填写部署sonar的主机ip，不能写成localhost，因为在jenkins的web中点击soanr的时候会进行跳转。

3、添加工具

在Jenkins的系统管理–>全局工具配置中，添加sonar-scanner工具。
在这里插入图片描述
因为要检查java项目的质量，所以jdk和maven的配置也少不了

jdk：
在这里插入图片描述
maven：
在这里插入图片描述

4、创建一个测试项目

创建一个自由风格的项目，名称叫做sonar-test。

项目配置如下：
在这里插入图片描述
其中sonar部分：

Task to run：定义名称，自定义即可；

JDK：选择刚才添加的jdk；

Analysis properties的内容如下：

#项目key（随意输入，必填项）
sonar.projectKey=test-sonar

#项目名和版本（必填项）
sonar.projectName=test-sonar
sonar.projectVersion=1.0
sonar.language=java
sonar.sourceEncoding=UTF-8

#模块名称（必填项）
sonar.modules=company

#模块相关信息（必填项）
company.sonar.projectName=company
company.sonar.language=java
company.sonar.projectBaseDir=.
company.sonar.sources=src/main
company.sonar.tests=src/test
company.sonar.java.binaries=target/classes

保存信息之后，构建一次。

在构建页面中，可以看到sonar的相关信息。
在这里插入图片描述
点击左侧的SonarQube可以直接跳转到该项目的sonar结果页。

5、查看结果

来到sonar页面中，可以看到刚才的test-sonar的检测结果了。
在这里插入图片描述
OK，用sonar检测一个项目源码质量的工作就完成了。但是还有一些其他的配置需要更加深入的去研究，比如说自定义模板等等。等下次具体用到的时候，再回来更新下。

参考文章：
http://www.eryajf.net/1977.html
https://docs.sonarqube.org/latest/requirements/requirements/
https://blog.csdn.net/qq_42207325/article/details/100998453
https://stackoverflow.com/questions/34065727/error-could-not-complete-symbolic-execution-reached-limit-of-10000-steps

wc1695040842
关注
  • 0
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
DependencyCheck+Jenkins扫描JAVA第三方依赖(CVE)漏洞
u012280424的博客
09-26 3600
利用Jenkins使用DependencyCheck更新漏洞库到本地，然后DependencyCheck扫描扫描项目，得到一个json报告，然后再使用json报告填充我们的自定义模板，最后输出填充后的模板为漏洞报告。
全网最详细jenkins+sonarqube+SonarQube Scanner+jacoco 部署流程说明
qq_42292373的博客
06-30 7703
文章目录一:Sonarqube的配置1.下载资源2: 修改配置文件3: 授权普通用户4:启动程序5: 汉化 (可选,不推荐)6:进行初始化的设置7:创建项目二:Jenkins的配置1: 下载插件2: 全局设置3: 全局工具配置4: 项目配置三:jacoco的配置1: 添加依赖2: jinkens配置jacoco四:使用的方法1:查看覆盖率 一:Sonarqube的配置 1.下载资源 1:下载 SonarQube 资源包,这里选择7.6版本 https://www.sonarqube.org/ 2:注意:8
2024新版SonarQube+JenKins+Github联动代码扫描（2）-SonarQube代码扫描_docker sonarqube
最新发布
2401_84969722的博客
05-12 758
这是2024新版SonarQube+JenKins+Github联动代码扫描专题的第二部分，也是核心内容，SonarQube目前是半开源，可以自定义漏洞扫描规则，这个后面有时间可以出一篇教程，本文主要是讲2024最新版的配置和如何进行代码扫描。提示：以下是本篇文章正文内容，下面案例可供参考自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
jenkins集成sonar流水线部署
wnfff的博客
04-22 3267
文章目录1. 创建`SonaQube`的账户`token`2. 将`token`保存到`Jenkins`凭据中3. 在`Jenkins`中安装插件`sonarqube scanner`3.1 配置`sonar`服务器3.2 全局配置`SonarQube Scanner`3.3 并关闭`sonar`的审查结果上传到`SCM`功能4. 创建自定义项目验证5. 创建流水线项目验证6. Jenkins添加Sonar结果分析6.1 `sonar`添加网络调用(`webhook`)6.2 修改`Jenkinsfile`
持续集成（CICD）-- sonar代码审查（静态扫描）
qq_45004869的博客
03-12 725
sonar-scanner.bat/sonar-scanner.sh的绝对路径> -D"sonar.projectKey=<扫描项目名(自定义)>" -D"sonar.host.url=<Sonar的服务地址>" -D"sonar.login=<Sonar的服务用户名>" -D"sonar.password=<Sonar的服务密码>"：进入到【开发项目】—>构建—>Execute SonarQube Scanner 【注意构建的顺序：比如部署构建的代码要在扫描之后】下载完成之后是一个压缩文件，解压之后；
Jenkins集成sonar配置和遇到的坑
qq_31564573的博客
12-15 1836
Jenkins集成sonar配置
使用jenkins+sonar进行代码扫描，并发送自定义邮件.docx
06-22
【使用Jenkins+Sonar进行代码扫描并发送自定义邮件】是软件开发中自动化质量管理和持续集成的一个重要实践。这个过程通常包括以下步骤： 1. **Jenkins架构**： - **Master节点**：主要负责任务调度，不直接执行...
jenkins+sonarqube+sonar-scanner(无ngrok).zip
06-10
5. 保存配置并运行Job，Sonar-Scanner将自动执行代码扫描，结果会上传到SonarQube服务器。 五、监控与优化 在SonarQube界面，我们可以查看项目的代码质量报告，包括代码覆盖率、复杂度、问题列表等。Jenkins则提供...
jenkins持续集成sonar扫描代码
10-12
经过几个日夜的奋斗,在linux上总结出jenkins集成sonar的文档,过程中遇到过各种坑。
Jenkins使用sonarqube代码扫描并发送扫描报告邮件
01-08
jenkins中使用例子: #定义sonar项目名称 sonar_url=bus-pub #邮件接收人 ...send3= #重新下载对应项目扫描报告 rm -f ${JOB_NAME}.pdf ...echo ${JOB_NAME}-第${BUILD_NUMBER}次代码扫描报告 > mail.txt ech
代码扫描sonar平台解读说明
08-04
里面sonar的配置及常见问题进行了描述,相信我，对你有很大的帮助，
基于sonarqube的代码安全检查2(1).docx
04-12
详细介绍了基于Sonarqube平台的代码安全检查流程，包括如何搭建测试平台
java开发-接入sonar api接口实现代码扫描
javaYanKang的博客
10-12 1642
前言本文主要介绍在java开发过程中如何借助sonar api实现代码扫描功能。仅介绍简单引入过程，详细对于sonar api接口的研究后续会进行补充。
Java代码质量分析Sonar
赵广陆
06-18 4432
目录 1. sonar安装 1.1 简介 1.1.1 客户端 1.1.2 sonar 版本区分 1.1.2.1 社区版 1.1.2.2 开发者版 1.1.2.3 企业版 1.2 安装部署 1.2.1 修改文件句柄数 1.2.2 创建挂载目录 1.2.3 创建docker-compose.yml 1.2.4 启动 1.2.4.1 访问测试 1.2.5 安装插件 1.2.5.1 汉化插件 1.3 静态分析插件介绍 1.3.1 什么是静态代码分析 1.3.1.1 静态代码分析优势
sonar与jenkins的集成
weixin_42323357的博客
09-08 1564
所有工具的配置和使用都是在centos环境下进行的 前提条件： 1。我已经完成了gitlab和jenkins的集成，实现gitlab执行push操作后，jenkins会触发脚本命令，生成一个以当前时间命名的文件。 2。sonar已经安装完成 如果前两部没有完成，可以看之前的博客流程 首先启动sonar 进入sonar目录 使用非root用户启动sonar cd /software/sonarqube/bin/linux-x86-64 ./sonar.sh start 进入sonar页面和jenkins页面
Sonar加入jenkins流水线
seanyang_的博客
05-19 1151
前提：已搭建sonarqube。
jenkins sonar
西西工作室
01-06 1824
一：持续集成的概念： 总体的概括 持续集成Continuous Integration 持续交付Continuous Delivery 持续部署Continuous Deployment 二：安装部署持续集成工具 1、安装jdk # rpm -ivh jdk-8u111-linux-x64.rpm # vim /etc/profile export JAVA_HOME=/usr/java/jdk1.8.0_111 export PATH=$JAVA_HOME/bin:$PATH 2、安装j
【K8S专题】七、使用 Docker 安装配置 Jenkins+Sonar（代码质量检查）
全栈程序猿的专栏
04-23 962
实际项目应用开发过程中，单独为 SpringCloud 工程部署一台运维服务器，不要安装在 Kubernetes 服务器上，同样按照上面的步骤安装 docker 和 docker-compose，然后使用 docker-compose 构建 Jenkins 和 Sonar。
SonarQube代码质量管理
05-17
Sonar是一个用于代码质量管理的开源平台，用于管理Java源代码的质量。通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如pmd-cpd、checkstyle、findbugs、Jenkins。通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。同时 Sonar 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 Sonar。 此外，Sonar 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。 课程主要分为四个方面对Jira进行了讲解和剖析： 1.  Sonarqube的介绍和安装 2.  Sonarqube案例分析和外部服务的集成 3.  Sonarqube分析项目使用的各参数详解 4.  Sonaruqbe的管理 注意：本课程主要是作为DevOps落地方案的一个技术之一，主要用于Devops工程师、开发人员、测试人员。其它人员购买前建议先看目录是否符合自己需求。
Jenkins+sonar+tomcat+SVN集成搭建
05-19
Jenkins、SonarQube、Tomcat和SVN可以进行集成搭建，可以实现代码的自动构建、测试、分析和部署。下面是具体步骤： 1. 安装Jenkins和SonarQube Jenkins和SonarQube都可以在官网下载安装包进行安装。 2. 安装Tomcat Tomcat也可以在官网下载安装包进行安装。 3. 安装SVN SVN可以在官网下载安装包进行安装。 4. 配置Jenkins 4.1 安装插件 在Jenkins中安装以下插件： - Subversion Plugin：用于支持SVN - SonarQube Scanner for Jenkins：用于支持SonarQube 4.2 配置SVN 在Jenkins中配置SVN，在“系统管理”中选择“全局工具配置”，在“Subversion”中设置SVN的路径和账号密码。 4.3 配置Tomcat 在Jenkins中配置Tomcat，在“系统管理”中选择“全局工具配置”，在“Tomcat”中设置Tomcat的路径和账号密码。 4.4 配置SonarQube 在Jenkins中配置SonarQube，在“系统管理”中选择“全局工具配置”，在“SonarQube Scanner”中设置SonarQube的路径和账号密码。 4.5 创建Jenkins任务 在Jenkins中创建任务，在任务中配置SVN的地址、账号密码和代码的检出路径。在“构建后操作”中添加以下内容： - Invoke top-level Maven targets：用于构建代码 - SonarQube Scanner：用于进行代码分析并上传结果到SonarQube服务器 - Deploy war/ear to a container：用于将代码部署到Tomcat服务器中 5. 使用Jenkins进行集成搭建 在Jenkins中运行任务，Jenkins会自动进行代码的检出、构建、测试、分析和部署。如果有问题，可以在Jenkins的控制台中查看详细的日志信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值