1. 摘要

本文讲解使用SonarQube和SonarQube Scanner如何配合做代码检查配置,并完成所有部署实践。

2.实践内容

2.1 前置配置

参考《【DevOps实践】4. Ubuntu下安装配置代码检测工具SonarQube+MySQL》,我们已经完成了SonarQube环境搭建。访问网址为:https://sonar.artarva.com/。 参考《【DevOps实践】3. Jenkins流水线搭建golang项目持续集成环境》,我们已经完成了Jenkins集成环境搭建,并且完成了一个GO项目的流水线下载代码,编译,部署的完整持续集成流程。访问网址为: https://jenkins.artarva.com/ 我们接下来要做的是采用SonarQube独立实现代码质量扫码,然后把该功能集成到Jenkins环境中。

2.2 使用sonar单独完成一个GO项目的代码检查

配置好sonar的服务端后,接下来就要使用sonar检测我们的代码了,sonar主要是借助客户端检测工具来检测代码,所以要使用sonar就必须先在我们本地配置好客户端检测工具。 客户端可以通过IDE插件、Sonar-Scanner插件、Ant插件和Maven插件方式进行扫描分析。常用的有扫描器有Sonar-Scanner和Sonar-Runner,使用起来都差不多。这里我使用Sonar-Scanner来作为检测客户端。

2.2.1 安装sonar scanner

(1) 安装 最好用sonar-scanner-2.8版本,支持jdk1.8,否则其他版本会出错。

cd /opt
wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-2.8.zip
unzip sonar-scanner-2.8.zip  # 解压后,目录名改为sonar-scanner
mv sonar-scanner-2.8 sonar-scanner

(2) 配置sonar qube和sonar scanner的环境变量 在root账号下配置sonar用户的sudo权限

chmod u+w /etc/sudoers
vim /etc/sudoers

增加sudo授权

sonar   ALL=(ALL:ALL) ALL
#sonar配置
export SONAR_HOME=/opt/sonar
export PATH=${SONAR_HOME}/bin:${PATH}

#set sonar-scanner environment
export SONAR_SCANNER_HOME=/opt/sonar-scanner
export PATH=${SONAR_SCANNER_HOME}/bin:${PATH}

执行source ~/.bash_profile使环境变量生效。 source命令通常用于重新执行刚修改的初始化文件,使之立即生效,而不必注销并重新登录。需要永久生效则需要reboot重启系统。

source ~/.bash_profile

(3)编辑sonar-scanner.properties文件 vim /opt/sonar-scanner/conf/sonar-scanner.properties

#----- Default SonarQube server
sonar.host.url=http://localhost:9000

#----- MySQL
sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8

2.2.2 增加工程 (1) 在sonarQube页面,点击右上角的+号,增加一个工程,填写名称。

(2) 产生TOKEN Analyze "training-ip-demo" 2: 80ecdaf54216297c11a536c4ff905973a10d7f3c

(3)根据提示编辑执行配合 选择预览,执行的系统环境,如下所示:

可以获取运行代码:

sonar-scanner 
  -Dsonar.projectKey=training-ip-demo 
  -Dsonar.sources=. 
  -Dsonar.host.url=https://sonar.artarva.com 
  -Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c

(3) 在待扫描的项目根目录下创建文件 sonar-project.properties,文件内容 vim sonar-project.properties,内容如下:

# must be unique in a given SonarQube instance
sonar.projectKey=1: e496e00dcc53d285f39a1c1725ba1394c56779ff

# --- optional properties ---
# language
sonar.language=go

# defaults to project key
sonar.projectName=training-ip-demo
# defaults to 'not provided'
#sonar.projectVersion=1.0

# Path is relative to the sonar-project.properties file. Defaults to .
sonar.sources=.
sonar.exclusions=**/*_test.go,**/doc/**,**/docwatermark/**

# test file
sonar.tests=.
sonar.test.inclusions=**/*_test.go


# Encoding of the source code. Default is default system encoding
sonar.sourceEncoding=UTF-8

(4) Linux shell下执行扫码分析工具 执行命令:

sonar-scanner 
>   -Dsonar.projectKey=training-ip-demo 
>   -Dsonar.sources=. 
>   -Dsonar.host.url=https://sonar.artarva.com 
>   -Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c

执行成功,可以看到

点击地址:https://sonar.artarva.com/dashboard?id=training-ip-demo 可以查看扫码结果。根据分析报告处理代码吧。

2.3 Jenkins流水线集成SonarQube

2.3.1 SonarQube配置准备

(1)打开TOKEN授权开关 使用Admin账号登录Sonar,打开Server authentication token开关。 位置:https://sonar.artarva.com/admin/settings 的Administration/Configuration/Security菜单位置。

(2)获取一个TOKEN

登录后右上角点击用户名称,选择我的账号,进入个人账号设置

选择安全页,在Generate Tokens中输入一个名称,如:preproduct-training-ip-demo,然后点击Generate,生成一个token。

位置:右上角的My Account /Security/Tokens

记录该值,例如:cb4238366e2fb9b8a89324eef5581cdec439a36d

2.3.2 在Jenkins上配置SonarQube token

在Jenkins上,打开Credentials,添加一个Global的Credential,选择Credential类型为Secret text。 输入Secret为上面生成的SonarQube token,例如上面的“cb4238366e2fb9b8a89324eef5581cdec439a36d” 输入一个有意义的描述,ID可以自动产生。

2.3.3 在Jenkins上安装SonarScanner插件

在Jenkins上安装SonarScanner插件,参见: http://redirect.sonarsource.com/plugins/jenkins.html 位置:系统管理/插件管理/ ,安装成功的截图。

2.3.4 在Jenkins上配置SonarQube server

位置:系统管理/系统配置 Name:填写一个便于记忆的名称。 Server URL:填写sonarQube的服务器地址,例如https://sonar.artarva.com Server authentication token:选择刚才在授权凭证建立的token。

2.3.5 在Jenkins流水线中使用SonarQube做代码质量检查

        stage('2.代码质量检查') {
            steps {
                sh """
                     /opt/sonar-scanner/bin/sonar-scanner 
                    -Dsonar.projectKey=preproduct-training-ip-demo 
                    -Dsonar.sources=. 
                    -Dsonar.host.url=https://sonar.artarva.com 
                    -Dsonar.login=cb4238366e2fb9b8a89324eef5581cdec439a36d
                """        
            }
        }  

2.3.6 执行流水线脚本,获取结果

根据输出提示,可以查看代码质量检查结果。 【点评】代码重复率太高,评分不合格呢。

3.参考

(1)Jenkins 集成 SonarQube Scanner https://www.cnblogs.com/cjsblog/archive/2019/04/20/10740840.html 【说明】缺少安装 SonarQube服务器的说明

(3)Jenkins+SonarQube+Gitlab搭建自动化持续代码扫描质量平台 https://blog.csdn.net/zuozewei/article/details/84539396 【说明】介绍sonar的作用整体。

(5)使用Jenkins流水线集成SonarQube做代码质量分析 https://blog.csdn.net/nklinsirui/article/details/90518618

(7) sonarqube SonarGo 搭建和golang代码检视的使用教程 https://www.jianshu.com/p/95ae320aa46d