2019年11月14日軟體工程筆記 mis

[Information Security資訊安全]SonarQube程式碼品質靜態分析工具(源碼掃描)介紹和環境建置

SonarQube 介紹 SonarQube 是一套完整的程式碼品質分析工具，支援超過 25 種程式語言，如 […]

SonarQube 介紹

SonarQube 是一套完整的程式碼品質分析工具，支援超過 25 種程式語言，如 C/C++、C#/VB.NET、Java、JavaScript、Python…等。這邊為測試架設 SonarQube 系統時所製作的筆記。

透過 SonarQube 的幫助可以讓我們程式碼中潛在的問題都一目了然，主要功能有兩種：

一種是負責執行程式碼分析的 Runner，每個語言都有自己對應的 SonarQube Runner （例如 C# 就有 MsBuild Runner）
另一種則是在透過 Runner 分析之後，我們可以透過 SonarQube 的報表網站，觀看軟體的健康檢查報告，了解是否有潛在的技術債（Technical Debt），幫助我們及早發現。

SonarQube 官網：https://www.sonarqube.org

SonarQube框架包含以下四個部分：

Project
SonarQube Scanner
SonarQube Server
SonarQube Database

SonarQube 程式碼品質分析工具用 7 個維度來分析程式碼品質，包括：

程式架構　Architecture & Design
冗餘程式　Duplications
單元測試　Unit tests
複雜度　　Complexity
潛在問題　Potential bugs
寫作原則　Coding rules
註解　　　Comments

環境設定

本篇文章使用 Window10 X64版 | SQL Server 2014 | SonarQube5.6.7 | sonar-scanner-msbuild-3.0.2.656

安裝Sonarqube程式碼品質分析工具下載位置：https://www.sonarqube.org/downloads/ (本篇文章撰寫時最新版本為 SonarQube8.0，因為建置時遇到的問題太多，再加上許多環境上變遷會影響原本其他專案的程式運作，因此等到以後比較穩健的時候再更新換成那個)

SonarQube 負責執行程式碼分析的 Runner 的 SonarQube Scanner for MSBuild(如果是C#的話) 下載位置：https://docs.sonarqube.org/latest/analysis/scan/sonarscanner-for-msbuild/

更新 Microsoft JDBC Drivers （非必要）下載位置：https://www.microsoft.com/zh-tw/download/details.aspx?id=11774 ( SonarQube 安裝檔中已經有自帶 Microsoft JDBC Drivers，因此這項非必要)

安裝 Java SE Development Kit 8(JDK8) (不多做說明) 下載位置：http://www.oracle.com/technetwork/java/javase/downloads/index.html (目前市面上大部分使用JDK8，SonarQube5.6.7版本也適用JDK8，而SonarQube8.0比較大膽，更新比較快，已經使用到11，如果為了開發環境運行順暢，建議新開一個虛擬機Vm，來創造SonarQube的開發環境)

SonarQube 必須搭配一套資料庫系統請參考官方建議清單：https://docs.sonarqube.org/latest/requirements/requirements/ (目前只支援 SQL Server 2014 以上版本)

設定資料庫（以 SQL Server 2014 為例）

建立名稱為 SonarQube 的資料庫，

建立資料庫帳號 sonar，並設定為資料庫SonarQube的擁有者(賦予db_owner權限)

啟動 SQL Server 組態管理員

需要啟動 TCP/IP 通訊協定服務
其中要設定 TCP 通訊埠為 1433 （如下圖）

安裝 SonarQube

安裝

將 SonarQube 壓縮檔解壓縮到指定目錄，例如：C:\SonarQube
將 SonarQube Scanner for MSBuild 壓縮檔解壓縮到指定目錄，例如：C:\SonarQube\bin\sonar-scanner
(這裡的安裝目錄可自訂)

設定環境變數

推薦使用 Rapid Environment Editor 修改系統環境變數在使用者變數的 Path 中加入 C:\SonarQube\bin\sonar-scanner\ (以您設定的 SonarQube 和 SonarQube Scanner 地址)方便後續使用 MSBuild.SonarQube.Runner.exe

修改 SonarQube 設定檔 \conf\sonar.properties 主要修改下列三個參數

sonar.jdbc.username 資料庫連線帳號 soanr.jdbc.password 資料庫連線密碼 sonar.jdbc.url 資料庫連線字串(使用 JDBC) 參考下列範例，正式環境建議另外建立一個 DB 使用帳戶，並使用後者方式

`# 使用 Integrated Security 時
sonar.jdbc.url=jdbc:sqlserver://localhost;databaseName=SonarQube;integratedSecurity=true

# 使用指定帳號密碼時
sonar.jdbc.url=jdbc:sqlserver://localhost;databaseName=SonarQube
sonar.jdbc.username=sonar
sonar.jdbc.password=sonar`

修改\bin\sonar-scanner下SonarQube.Analysis.xml檔案

sonar.host.url：SonarQube服務器位置 sonar.login：使用者帳號 sonar.password：使用者密碼參考下列範例

`<Property Name="sonar.host.url">http://localhost:9000</Property>
<Property Name="sonar.login"></Property>
<Property Name="sonar.password"></Property>`