SonarQube使用指南：代码质量管理利器

Psyduck_ing

于 2025-05-11 10:18:19 发布

阅读量870

点赞数 29

分类专栏：管理工具文章标签： sonarQube 代码质量代码规范代码复审静态代码分析

本文链接：https://blog.csdn.net/Psyduck_ing/article/details/147853282

版权

管理工具专栏收录该内容

7 篇文章

订阅专栏

1. SonarQube简介

SonarQube是一个开源的代码质量管理平台，用于持续检查和分析代码质量。它可以自动检测代码中的错误、漏洞和代码异味，帮助开发团队交付更干净、更安全的代码。SonarQube支持超过25种编程语言，包括Java、C/C++、C#、JavaScript、TypeScript、Python等。

1.1 为什么选择SonarQube？

全面的代码分析：检测代码中的错误、漏洞、代码异味等问题
质量门禁：设定质量标准，确保不达标的代码不会合并到主分支
丰富的可视化报告：直观展示代码质量的各个方面
持续集成/持续部署支持：与Jenkins、GitLab CI、GitHub Actions等工具无缝集成
技术债务管理：量化并追踪技术债务，制定改进计划

1.2 SonarQube架构

SonarQube平台由四个组件组成：

SonarQube服务器：包含Web服务器、搜索服务器和计算引擎
SonarQube数据库：存储平台的配置和项目分析结果
SonarScanner：分析项目代码的客户端应用程序
SonarQube插件：扩展平台功能的附加组件

2. SonarQube安装指南

2.1 前置要求

JDK 11或更高版本
支持的数据库（PostgreSQL、MS SQL Server、Oracle）
足够的内存和存储空间
适当的操作系统（Windows、Linux、macOS）

2.2 使用Docker安装（推荐）

Docker是部署SonarQube最简单的方式：

# 拉取SonarQube镜像
docker pull sonarqube:latest

# 运行SonarQube容器
docker run -d --name sonarqube \
    -p 9000:9000 \
    -e SONAR_JDBC_URL=jdbc:postgresql://db:5432/sonar \
    -e SONAR_JDBC_USERNAME=sonar \
    -e SONAR_JDBC_PASSWORD=sonar \
    -v sonarqube_data:/opt/sonarqube/data \
    -v sonarqube_logs:/opt/sonarqube/logs \
    -v sonarqube_extensions:/opt/sonarqube/extensions \
    sonarqube:latest

2.3 直接安装

下载SonarQube社区版：https://www.sonarqube.org/downloads/
解压下载的文件
配置数据库连接（conf/sonar.properties）
启动SonarQube服务器：
- Windows：bin\windows-x86-64\StartSonar.bat
- Linux：bin/linux-x86-64/sonar.sh start

2.4 访问SonarQube

安装完成后，访问 http://localhost:9000

默认管理员账号：admin
默认密码：admin（首次登录时会提示修改）

3. SonarQube项目设置与配置

3.1 创建项目

登录SonarQube
点击"Create new project"
输入项目标识符和显示名称
选择创建方式（手动或通过DevOps平台导入）
生成项目令牌

3.2 配置质量配置文件

SonarQube提供多种预定义的质量配置文件，也支持自定义：

在项目设置中，选择"Quality Profiles"
为每种语言选择或创建质量配置文件
根据团队需求调整规则集

3.3 设置质量门禁

质量门禁确保不合格的代码无法通过：

进入"Quality Gates"部分
创建新的质量门禁或编辑现有门禁
添加条件，如：
- 新代码中的代码覆盖率不低于80%
- 重复代码不超过5%
- 严重或阻断性问题为0

4. 使用SonarScanner分析代码

4.1 SonarScanner类型

SonarQube提供多种Scanner以适应不同的构建系统：

SonarScanner：通用扫描器，适用于任何项目
SonarScanner for Maven：集成到Maven构建中
SonarScanner for Gradle：集成到Gradle构建中
SonarScanner for .NET：用于.NET项目
SonarScanner for Jenkins：Jenkins插件形式

4.2 使用通用SonarScanner

下载并解压SonarScanner
在项目根目录创建 sonar-project.properties 文件：

# 必须的元数据
sonar.projectKey=my_project
sonar.projectName=我的项目
sonar.projectVersion=1.0

# 源代码路径
sonar.sources=src
sonar.language=java

# 编译后的字节码
sonar.java.binaries=target/classes

# 测试相关配置
sonar.tests=src/test
sonar.junit.reportPaths=target/surefire-reports
sonar.coverage.jacoco.xmlReportPaths=target/site/jacoco/jacoco.xml

# 排除路径
sonar.exclusions=src/test/**/*

运行扫描：

# Windows
sonar-scanner.bat

# Linux/macOS
./sonar-scanner

4.3 在Maven项目中使用SonarScanner

在 pom.xml 中添加插件：

<build>
  <plugins>
    <plugin>
      <groupId>org.sonarsource.scanner.maven</groupId>
      <artifactId>sonar-maven-plugin</artifactId>
      <version>3.9.1.2184</version>
    </plugin>
  </plugins>
</build>

运行扫描：

mvn clean verify sonar:sonar \
  -Dsonar.projectKey=my_project \
  -Dsonar.host.url=http://localhost:9000 \
  -Dsonar.login=your_token

5. 分析报告解读

5.1 项目仪表板

项目仪表板提供项目质量的总体视图，包括：

质量门禁状态：通过/失败
可靠性：代码中的错误数量
安全性：代码中的漏洞数量
可维护性：代码中的"代码异味"数量
覆盖率：代码测试覆盖率
重复率：代码中的重复部分
大小：代码行数、文件数等

5.2 议题探索

议题是代码中被识别的问题：

错误：可能导致错误行为的缺陷
漏洞：可能被攻击者利用的弱点
代码异味：降低可维护性的代码特征
安全热点：需要安全审查的代码

5.3 代码跟踪

SonarQube提供"代码"视图，可以浏览源代码并查看：

议题在代码中的位置
每行代码的测试覆盖状态
重复代码块
代码复杂度热图

6. SonarQube与CI/CD集成

6.1 与Jenkins集成

安装"SonarQube Scanner for Jenkins"插件
在Jenkins中配置SonarQube服务器
在Pipeline或自由风格项目中添加SonarQube分析步骤：

// Jenkinsfile示例
pipeline {
    agent any
    stages {
        stage('Build') {
            steps {
                sh 'mvn clean package'
            }
        }
        stage('SonarQube analysis') {
            steps {
                withSonarQubeEnv('SonarQube') {
                    sh 'mvn sonar:sonar'
                }
            }
        }
        stage("Quality Gate") {
            steps {
                timeout(time: 1, unit: 'HOURS') {
                    waitForQualityGate abortPipeline: true
                }
            }
        }
    }
}

6.2 与GitLab CI集成

在 .gitlab-ci.yml 中添加SonarQube分析：

sonarqube-analysis:
  image: maven:3.8.1-openjdk-11
  variables:
    SONAR_USER_HOME: "${CI_PROJECT_DIR}/.sonar"
  cache:
    key: "${CI_JOB_NAME}"
    paths:
      - .sonar/cache
  script:
    - mvn verify sonar:sonar
      -Dsonar.projectKey=${CI_PROJECT_NAME}
      -Dsonar.host.url=${SONAR_URL}
      -Dsonar.login=${SONAR_TOKEN}
  only:
    - merge_requests
    - master
    - develop

6.3 与GitHub Actions集成

创建 .github/workflows/build.yml：

name: Build
on:
  push:
    branches:
      - main
  pull_request:
    types: [opened, synchronize, reopened]
jobs:
  build:
    name: Build and analyze
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
        with:
          fetch-depth: 0
      - name: Set up JDK 11
        uses: actions/setup-java@v1
        with:
          java-version: 11
      - name: Cache SonarQube packages
        uses: actions/cache@v1
        with:
          path: ~/.sonar/cache
          key: ${{ runner.os }}-sonar
          restore-keys: ${{ runner.os }}-sonar
      - name: Build and analyze
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}
        run: mvn -B verify org.sonarsource.scanner.maven:sonar-maven-plugin:sonar