介绍
Sonar是一个代码质量管理的开源平台，基于Java开发的,用于管理源代码的质量，通过插件形式，可以支持包括java、C#、JavaScript等二十余种编程语言的代码质量管理与检测。
它具有免费的社区版本和其他付费版本。
利用SonarQube的主要好处是：它集成了数千种自动的静态代码分析规则，旨在提高开发人员的代码质量和安全性，使得开发人员编写更加干净，更加安全的代码。
主要提供了三个比较大的功能：
- 代码可靠性支持：提前捕获和提示代码中的错误，从而避免未定义的行为影响到终端用户。
- 应用安全支持：修复可能危害到应用程序的漏洞，并通过安全热点学习AppSec（简单理解就是会学习和识别新的漏洞）。
- 技术债务支持：确保管理的代码库干净并且可维护，以便提高开发人员的开发效率。
这可以帮助你确保代码在合并之前达到预期的质量！
- 只需一行命令即可轻松集成到CI/CD管道中。
- 也可以集成到Maven和Gradle构建周期中
- 检查几乎所有内容，如代码质量，格式，变量声明，异常处理等。
实际上，研发团队可以基于SonarQube做下面的事情：
- CI/CD流程加入一个SonarQube扫描的环节
- 实施代码质量阈值，只有通过了这个质量阈值检测才能进入下一个流程
- 代码质量低于阈值的项目要及时调整对应的代码
质量阈值可以进行自定义，SonarQube中针对每个项目会有详细的面板信息，里面会给出项目当前的健康状态，不同级别漏洞的分类和明细，漏洞对应提交者等多维度的统计信息，方便进行问题的追踪和修复。
针对不同的项目，SonarQube可设定了不同等级的阈值，对于老项目，会使用最低等级的阈值：阻断性的错误数量要求为0，对于一些新的项目，则严格要求质量如严重性的错误要求为0等，只要无法通过质量阈值检查，那么项目是无法上线的。
组成
1、SonarQube服务器
sonarqube是sonar的服务端，相当于一个web服务器，用来发布应用，在线浏览、配置分析等。- 开发人员和管理员操作频繁，用于浏览代码质量和配置服务器。
- 集成ElasticSearch做搜索服务，用于返回通过UI搜索内容。
- 集成计算引擎处理代码分析后的报告，并将报告保存到数据库。
image.png
每个文件夹的作用
-
bin：sonarqube运行命令文件夹 -
conf：sonarqube配置文件夹 -
data：嵌入式数据库的数据（H2数据库引擎），建议只用于测试和演示 -
extensions：sonarqube的插件等存放文件夹 -
lib：sonarqube存放的运行库文件夹（jar） -
logs：sonarqube日志文件夹 -
temp：sonarqube临时文件夹 -
web：sonarqube系统UI界面文件夹
2、SonarQube数据库
- 存储代码分析数据报告。
- 支持oracle、PostgreSQL、MySQL。
3、Sonarqube-Scanner
sonarqube-scanner相当于sonar客户端, sonarqube-scanner如下图所示。每个文件夹的作用和sonar类似，具体不在赘述。- 客户端工具，用于扫描项目。
- 将扫描结果上传到服务器。
4、SonarQube Plugins
- 通过插件使平台功能更加强大，
- 常用的插件分类：SCM、集成、身份验证、管理维护等插件。
外部集成
下面的模式展示了SonarQube如何与其他ALM工具集成，以及使用SONARQUE的各种组件。
- 开发人员在IDE中编写代码，并使用SonarLint来运行本地分析。
- 开发人员将他们的代码推到他们最喜欢的SCM：Git，Svn，TFVC，…
- 连续集成服务器触发自动构建，执行SONARQUE扫描器需要运行SONARQUE分析。
- 分析报告被发送到SONARQUE服务器进行处理。
- SONARQUE服务器在SONARQUE数据库中处理和存储分析报告结果，并将结果显示在UI中。
- 开发人员审查、评论、挑战他们的问题，通过SONARQUE UI管理和减少他们的技术债务。
- 管理者从分析中得到报告；使用API来自动配置并从SONARQUE中提取数据；使用JMX监控SONARQUBE服务器
SonarLint
SonarLint是一个Sonar IDE插件，可以接收和连接SonrarQube对代码库扫描的结果从而通知Developer, SonarLint本身也可以基于一些规则对代码IDE中的代码进行即时的检测。它的目的是在您键入代码时提供即时反馈。
注意：为了获得最佳性能，Sonar Qube服务器和数据库应安装在单独的主机上，并且服务器主机应为专用主机。服务器和数据库主机应位于同一网络上。
所有主机都必须进行时间同步
本文使用 文章同步助手 同步
网友评论