1. 摘要
本文讲解使用SonarQube和SonarQube Scanner如何配合做代码检查配置,并完成所有部署实践。
2.实践内容
2.1 前置配置
参考《【DevOps实践】4. Ubuntu下安装配置代码检测工具SonarQube MySQL》,我们已经完成了SonarQube环境搭建。访问网址为:https://sonar.artarva.com/。
参考《【DevOps实践】3. Jenkins流水线搭建golang项目持续集成环境》,我们已经完成了Jenkins集成环境搭建,并且完成了一个GO项目的流水线下载代码,编译,部署的完整持续集成流程。访问网址为:
https://jenkins.artarva.com/
我们接下来要做的是采用SonarQube独立实现代码质量扫码,然后把该功能集成到Jenkins环境中。
2.2 使用sonar单独完成一个GO项目的代码检查
配置好sonar的服务端后,接下来就要使用sonar检测我们的代码了,sonar主要是借助客户端检测工具来检测代码,所以要使用sonar就必须先在我们本地配置好客户端检测工具。
客户端可以通过IDE插件、Sonar-Scanner插件、Ant插件和Maven插件方式进行扫描分析。常用的有扫描器有Sonar-Scanner和Sonar-Runner,使用起来都差不多。这里我使用Sonar-Scanner来作为检测客户端。
2.2.1 安装sonar scanner
(1) 安装
最好用sonar-scanner-2.8版本,支持jdk1.8,否则其他版本会出错。
代码语言:javascript复制cd /opt
wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-2.8.zip
unzip sonar-scanner-2.8.zip # 解压后,目录名改为sonar-scanner
mv sonar-scanner-2.8 sonar-scanner
(2) 配置sonar qube和sonar scanner的环境变量
在root账号下配置sonar用户的sudo权限
代码语言:javascript复制chmod u w /etc/sudoers
vim /etc/sudoers
增加sudo授权
代码语言:javascript复制sonar ALL=(ALL:ALL) ALL
root账号下,编辑/etc/profile 文件,
增加sonar环境变量信息和sonar-scanner 环境变量信息。
代码语言:javascript复制#sonar配置
export SONAR_HOME=/opt/sonar
export PATH=${SONAR_HOME}/bin:${PATH}
#set sonar-scanner environment
export SONAR_SCANNER_HOME=/opt/sonar-scanner
export PATH=${SONAR_SCANNER_HOME}/bin:${PATH}
执行source ~/.bash_profile使环境变量生效。
source命令通常用于重新执行刚修改的初始化文件,使之立即生效,而不必注销并重新登录。需要永久生效则需要reboot重启系统。
代码语言:javascript复制source ~/.bash_profile
(3)编辑sonar-scanner.properties文件
vim /opt/sonar-scanner/conf/sonar-scanner.properties
代码语言:javascript复制#----- Default SonarQube server
sonar.host.url=http://localhost:9000
#----- MySQL
sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8
2.2.2 增加工程
(1) 在sonarQube页面,点击右上角的 号,增加一个工程,填写名称。
(2) 产生TOKEN
Analyze "training-ip-demo" 2: 80ecdaf54216297c11a536c4ff905973a10d7f3c
(3)根据提示编辑执行配合
选择预览,执行的系统环境,如下所示:
可以获取运行代码:
代码语言:javascript复制sonar-scanner
-Dsonar.projectKey=training-ip-demo
-Dsonar.sources=.
-Dsonar.host.url=https://sonar.artarva.com
-Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c
(3) 在待扫描的项目根目录下创建文件 sonar-project.properties,文件内容
vim sonar-project.properties,内容如下:
代码语言:javascript复制# must be unique in a given SonarQube instance
sonar.projectKey=1: e496e00dcc53d285f39a1c1725ba1394c56779ff
# --- optional properties ---
# language
sonar.language=go
# defaults to project key
sonar.projectName=training-ip-demo
# defaults to 'not provided'
#sonar.projectVersion=1.0
# Path is relative to the sonar-project.properties file. Defaults to .
sonar.sources=.
sonar.exclusions=**/*_test.go,**/doc/**,**/docwatermark/**
# test file
sonar.tests=.
sonar.test.inclusions=**/*_test.go
# Encoding of the source code. Default is default system encoding
sonar.sourceEncoding=UTF-8
(4) Linux shell下执行扫码分析工具
执行命令:
代码语言:javascript复制sonar-scanner
> -Dsonar.projectKey=training-ip-demo
> -Dsonar.sources=.
> -Dsonar.host.url=https://sonar.artarva.com
> -Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c
执行成功,可以看到
点击地址:https://sonar.artarva.com/dashboard?id=training-ip-demo
可以查看扫码结果。根据分析报告处理代码吧。
2.3 Jenkins流水线集成SonarQube
2.3.1 SonarQube配置准备
(1)打开TOKEN授权开关
使用Admin账号登录Sonar,打开Server authentication token开关。
位置:https://sonar.artarva.com/admin/settings 的Administration/Configuration/Security菜单位置。
(2)获取一个TOKEN
登录后右上角点击用户名称,选择我的账号,进入个人账号设置
选择安全页,在Generate Tokens中输入一个名称,如:preproduct-training-ip-demo,然后点击Generate,生成一个token。
位置:右上角的My Account /Security/Tokens
记录该值,例如:cb4238366e2fb9b8a89324eef5581cdec439a36d
2.3.2 在Jenkins上配置SonarQube token
在Jenkins上,打开Credentials,添加一个Global的Credential,选择Credential类型为Secret text。
输入Secret为上面生成的SonarQube token,例如上面的“cb4238366e2fb9b8a89324eef5581cdec439a36d”
输入一个有意义的描述,ID可以自动产生。
2.3.3 在Jenkins上安装SonarScanner插件
在Jenkins上安装SonarScanner插件,参见:
http://redirect.sonarsource.com/plugins/jenkins.html
位置:系统管理/插件管理/ ,安装成功的截图。
2.3.4 在Jenkins上配置SonarQube server
位置:系统管理/系统配置
Name:填写一个便于记忆的名称。
Server URL:填写sonarQube的服务器地址,例如https://sonar.artarva.com
Server authentication token:选择刚才在授权凭证建立的token。
2.3.5 在Jenkins流水线中使用SonarQube做代码质量检查
《【DevOps实践】3. Jenkins流水线搭建golang项目持续集成环境》的pipeline脚本的基础上增加一个步骤。
代码语言:javascript复制 stage('2.代码质量检查') {
steps {
sh """
/opt/sonar-scanner/bin/sonar-scanner
-Dsonar.projectKey=preproduct-training-ip-demo
-Dsonar.sources=.
-Dsonar.host.url=https://sonar.artarva.com
-Dsonar.login=cb4238366e2fb9b8a89324eef5581cdec439a36d
"""
}
}
2.3.6 执行流水线脚本,获取结果
根据输出提示,可以查看代码质量检查结果。
【点评】代码重复率太高,评分不合格呢。
https://sonar.artarva.com/dashboard?id=preproduct-training-ip-demo
3.参考
(1)Jenkins 集成 SonarQube Scanner
https://www.cnblogs.com/cjsblog/archive/2019/04/20/10740840.html
【说明】缺少安装 SonarQube服务器的说明
(2)GO语言检查配置
How to run SonarQube for Go code using Jenkins
https://stackoverflow.com/questions/63832311/how-to-run-sonarqube-for-go-code-using-jenkins
https://docs.sonarqube.org/latest/analysis/languages/go/
(3)Jenkins SonarQube Gitlab搭建自动化持续代码扫描质量平台
https://blog.csdn.net/zuozewei/article/details/84539396
【说明】介绍sonar的作用整体。
(4) SonarQube集成golang检测
https://blog.csdn.net/baidu_36943075/article/details/90634160
(5)使用Jenkins流水线集成SonarQube做代码质量分析
https://blog.csdn.net/nklinsirui/article/details/90518618
(6)GO项目配置
https://docs.sonarqube.org/latest/analysis/languages/go/
(7) sonarqube SonarGo 搭建和golang代码检视的使用教程
https://www.jianshu.com/p/95ae320aa46d