1. 摘要

本文讲解使用SonarQube和SonarQube Scanner如何配合做代码检查配置，并完成所有部署实践。

2.实践内容

2.1 前置配置

参考《【DevOps实践】4. Ubuntu下安装配置代码检测工具SonarQube+MySQL》，我们已经完成了SonarQube环境搭建。访问网址为：https://sonar.artarva.com/。 参考《【DevOps实践】3. Jenkins流水线搭建golang项目持续集成环境》,我们已经完成了Jenkins集成环境搭建，并且完成了一个GO项目的流水线下载代码，编译，部署的完整持续集成流程。访问网址为： https://jenkins.artarva.com/ 我们接下来要做的是采用SonarQube独立实现代码质量扫码，然后把该功能集成到Jenkins环境中。

2.2 使用sonar单独完成一个GO项目的代码检查

配置好sonar的服务端后，接下来就要使用sonar检测我们的代码了，sonar主要是借助客户端检测工具来检测代码，所以要使用sonar就必须先在我们本地配置好客户端检测工具。 客户端可以通过IDE插件、Sonar-Scanner插件、Ant插件和Maven插件方式进行扫描分析。常用的有扫描器有Sonar-Scanner和Sonar-Runner，使用起来都差不多。这里我使用Sonar-Scanner来作为检测客户端。

2.2.1 安装sonar scanner

(1) 安装 最好用sonar-scanner-2.8版本，支持jdk1.8，否则其他版本会出错。

cd /opt
wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli/sonar-scanner-2.8.zip
unzip sonar-scanner-2.8.zip  # 解压后，目录名改为sonar-scanner
mv sonar-scanner-2.8 sonar-scanner

(2) 配置sonar qube和sonar scanner的环境变量 在root账号下配置sonar用户的sudo权限

chmod u+w /etc/sudoers
vim /etc/sudoers

增加sudo授权

sonar   ALL=(ALL:ALL) ALL
#sonar配置
export SONAR_HOME=/opt/sonar
export PATH=${SONAR_HOME}/bin:${PATH}

#set sonar-scanner environment
export SONAR_SCANNER_HOME=/opt/sonar-scanner
export PATH=${SONAR_SCANNER_HOME}/bin:${PATH}

执行source ~/.bash_profile使环境变量生效。 source命令通常用于重新执行刚修改的初始化文件，使之立即生效，而不必注销并重新登录。需要永久生效则需要reboot重启系统。

source ~/.bash_profile

（3）编辑sonar-scanner.properties文件 vim /opt/sonar-scanner/conf/sonar-scanner.properties

#----- Default SonarQube server
sonar.host.url=http://localhost:9000

#----- MySQL
sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8

2.2.2 增加工程 (1) 在sonarQube页面，点击右上角的+号，增加一个工程，填写名称。

(2) 产生TOKEN Analyze "training-ip-demo" 2: 80ecdaf54216297c11a536c4ff905973a10d7f3c

（3）根据提示编辑执行配合 选择预览，执行的系统环境，如下所示：

可以获取运行代码：

sonar-scanner 
  -Dsonar.projectKey=training-ip-demo 
  -Dsonar.sources=. 
  -Dsonar.host.url=https://sonar.artarva.com 
  -Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c

（3） 在待扫描的项目根目录下创建文件 sonar-project.properties,文件内容 vim sonar-project.properties,内容如下：

# must be unique in a given SonarQube instance
sonar.projectKey=1: e496e00dcc53d285f39a1c1725ba1394c56779ff

# --- optional properties ---
# language
sonar.language=go

# defaults to project key
sonar.projectName=training-ip-demo
# defaults to 'not provided'
#sonar.projectVersion=1.0

# Path is relative to the sonar-project.properties file. Defaults to .
sonar.sources=.
sonar.exclusions=**/*_test.go,**/doc/**,**/docwatermark/**

# test file
sonar.tests=.
sonar.test.inclusions=**/*_test.go


# Encoding of the source code. Default is default system encoding
sonar.sourceEncoding=UTF-8

(4) Linux shell下执行扫码分析工具 执行命令：

sonar-scanner 
>   -Dsonar.projectKey=training-ip-demo 
>   -Dsonar.sources=. 
>   -Dsonar.host.url=https://sonar.artarva.com 
>   -Dsonar.login=80ecdaf54216297c11a536c4ff905973a10d7f3c

执行成功，可以看到

点击地址：https://sonar.artarva.com/dashboard?id=training-ip-demo 可以查看扫码结果。根据分析报告处理代码吧。

2.3 Jenkins流水线集成SonarQube

2.3.1 SonarQube配置准备

（1）打开TOKEN授权开关 使用Admin账号登录Sonar，打开Server authentication token开关。 位置：https://sonar.artarva.com/admin/settings 的Administration/Configuration/Security菜单位置。

（2）获取一个TOKEN

登录后右上角点击用户名称，选择我的账号，进入个人账号设置

选择安全页，在Generate Tokens中输入一个名称，如：preproduct-training-ip-demo，然后点击Generate，生成一个token。

位置：右上角的My Account /Security/Tokens

记录该值，例如：cb4238366e2fb9b8a89324eef5581cdec439a36d

2.3.2 在Jenkins上配置SonarQube token

在Jenkins上，打开Credentials，添加一个Global的Credential，选择Credential类型为Secret text。 输入Secret为上面生成的SonarQube token，例如上面的“cb4238366e2fb9b8a89324eef5581cdec439a36d” 输入一个有意义的描述，ID可以自动产生。

2.3.3 在Jenkins上安装SonarScanner插件

在Jenkins上安装SonarScanner插件，参见： http://redirect.sonarsource.com/plugins/jenkins.html 位置：系统管理/插件管理/ ，安装成功的截图。

2.3.4 在Jenkins上配置SonarQube server

位置：系统管理/系统配置 Name：填写一个便于记忆的名称。 Server URL：填写sonarQube的服务器地址，例如https://sonar.artarva.com Server authentication token：选择刚才在授权凭证建立的token。

2.3.5 在Jenkins流水线中使用SonarQube做代码质量检查

        stage('2.代码质量检查') {
            steps {
                sh """
                     /opt/sonar-scanner/bin/sonar-scanner 
                    -Dsonar.projectKey=preproduct-training-ip-demo 
                    -Dsonar.sources=. 
                    -Dsonar.host.url=https://sonar.artarva.com 
                    -Dsonar.login=cb4238366e2fb9b8a89324eef5581cdec439a36d
                """        
            }
        }

2.3.6 执行流水线脚本，获取结果

根据输出提示，可以查看代码质量检查结果。 【点评】代码重复率太高，评分不合格呢。

3.参考

（1）Jenkins 集成 SonarQube Scanner https://www.cnblogs.com/cjsblog/archive/2019/04/20/10740840.html 【说明】缺少安装 SonarQube服务器的说明

（3）Jenkins+SonarQube+Gitlab搭建自动化持续代码扫描质量平台 https://blog.csdn.net/zuozewei/article/details/84539396 【说明】介绍sonar的作用整体。

(5)使用Jenkins流水线集成SonarQube做代码质量分析 https://blog.csdn.net/nklinsirui/article/details/90518618

(7) sonarqube SonarGo 搭建和golang代码检视的使用教程 https://www.jianshu.com/p/95ae320aa46d