用户名密码：admin admin http://sonarqube.testing-studio.com/
先安装 Chinese pacK （中文包），其他的可以先尝试安装，如果安装不上，手动安装
SonarQube是一款代码检测工具，支持对Java、C#、、Python、Go、Html、JavaScript、CSS等代码的质量检测。
最近一段时间，我们团队在生产环境出现了几次线上问题，有部分比较严重，直接影响用户功能的使用，惹得领导不高兴了，让我想办法提升代码质量，这时候项目工程代码质量检测神器——SonarQube，出现在我们的视线当中。
SonarQube® is an automatic code review tool to detect bugs, vulnerabilities and code smells in your code.
官网描述: SonarQube 提高您的团队成员的代码质量和安全性，使所有开发人员能够编写更干净、更安全的代码。 官网地址: https://www.sonarqube.org/ 帮助文档: https://docs.sonarqube.org/latest/
安装jenkins 略 安装SonarQube version: "3" services: sonar: image: sonarqube:8.4.2-community container_name: sonar hostname: sonar restart: always depends_on: - pgsql ports: - 9000:9000 environment: - SONAR_JDBC_UR
SonarQube是一种自动代码审查工具，用于检测代码中的错误、漏洞和代码异味。它可以与您现有的工作流程集成，以支持跨项目分支和拉取请求的持续代码检查。
记录两种部署方式：zip安装包部署、docker-compose；并且安装PDF导出报告插件；
静态代码扫描是CI/CD中重要的一环，可以在代码提交到代码仓库之后，在CI/CD流程中加入代码扫描步骤，从而及时地对代码进行质量的检查。这可以有效地降低后期维护成本，优化产品质量，提高产品交付速度。同时，静态代码扫描还可以将代码问题自动通知给开发人员，使得问题得到及时发现和解决。
1.SonarQube部署前的内核参数等配置以及Java环境配置 1）修改内核参数配置，使满足环境要求 [root@sonarqube ~]# vim /etc/sysctl.conf vm.max_map_count=262144 fs.file-max=65536 [root@sonarqube ~]# sysctl -p #生效修改的内核参数 …… vm.max_map_count = 262144 fs.file-max = 65536 2）修改本机安全策略参数限制 [root@sonarqu
Sonar是一个用于代码质量管理的开源平台，用于管理Java源代码的质量。通过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如pmd-cpd、checkstyle、findbugs、Jenkins。通过不同的插件对这些结果进行再加工处理，通过量化的方式度量代码质量的变化，从而可以方便地对不同规模和种类的工程进行代码质量管理。同时 Sonar 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 Sonar。 此外，Sonar 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。
SonarQube是一个开源的代码质量管理系统，可用来快速定位代码中的Bug、漏洞以及不优雅的代码。它支持几乎所有的常见编程语言，例如Java、JavaScript、TypeScript、Kotlin、Ruby、Go, Scala等。并且还有插件机制，利用插件，可以让SonarQube更加强大，例如可以整合Findbugs、PMD、Checkstyle等。可以说，SonarQube是一款提升项目代码质量必备的根据。
代码质量是特定代码片段的有用性和可维护性的近似值。质量代码将使维护和扩展应用程序的任务变得更加容易。它有助于确保在将来进行必要的更改时引入更少的漏洞。
官网地址：https://gitee.com/zzulj/sonar-pdf-plugin
sonarqube安装很简单，下载（直接win下载，然后上传到linux服务器）安装包后直接解压即可：
现如今大家越来越认识到质量前移的重要性。如果一开始就写出优质的、经过测试的代码，那么后面的测试阶段将会减少很多不必要的时间。如果开发人员迫于业务压力，一味追求项目开发进度，往往会容易形成大量的“烂代码”。一般的烂代码体现在逻辑混乱、复杂度高、易读性差、没有单元测试和缺乏必要的注释。如果把这样的“烂代码”编译交付测试团队，那么测试人员势必会发现很多低级缺陷，甚至连冒烟测试都无法通过，这样势必会浪费很多时间，延误测试进度。所以，回到开始，为何不一开始就是写出优质代码呢？
SonarQube 是一个静态代码分析平台，用来持续分析和评测代码的质量，支持检测 Java、JavaScript、C#、C、C++ 等二十几种编程语言。通过 SonarQube 可以检测出项目中潜在的Bug、漏洞、代码规范、重复代码、缺乏单元测试的代码等问题，并提供了 UI 界面进行查看和管理。
SonarQube是一个开源的代码质量管理平台，用于检测代码中的错误、漏洞和代码规范。它可以与多种工具集成，如Gitlab、Jenkins等，以便在项目拉取后进行连续的代码检查。SonarQube旨在提供一个完整的代码质量管理解决方案，支持多种计算机编程语言，并内置大量常用代码检查规则。
由于 SonarQube 使用 Elasticsearch 作为全文模糊搜索引擎，故需要设置如下内核参数。
博客有些好些时间未更新了，这几个月的时间里，离开了实习的公司、大学毕了业、来了新公司、转了户口，有点忙，最近总算稍微闲下来了，打算重新拾起博客，坚持写下去。
SonarQube是一个开源的代码质量管理系统，用于检测代码中的错误，漏洞和代码规范。它可以现有的Gitlab、Jenkins集成，以便在项目拉取后进行连续的代码检查。
通过上一节我们了解了如何配置以使jenkins ci环境中可以执行sonarqube构建,其实Sonarqube官方也提供了jenkins插件以便更方便的管理.使用插件来执行sonarqube项目有以下优点
参考：https://ken.io/note/centos7-jenkins-install-tutorial
Jenkins Pipline执行过程，需要实时获取持续集成-静态代码扫描的结果，以确定扫描结果是否符合既定的要求。通过在SonarQube中设定与Jenkins的WebHook，即可解决这个问题。
Sonarqube下载地址是:https://www.sonarqube.org/downloads/下载版本有两个,一个是长期支持版,另一个是最新版,此处安装的是最新版,目前版本是7.3,下载的时候点击醒目的蓝色按钮即可(此时下载的是社区版),下面有三个无底色按钮下载链接,分别对应的是开发者版,企业版和数据中心版,这些版本都不是免费版,需要获取Licence key方可使用.目前起步阶段,使用社区版就Ok了.
Gitlab 提供了基于 Code Climate 的代码质量评估功能，这一功能是通过 dind（Docker in Docker）方式运行的，在 Kubernetes 环境中、尤其是托管集群中，这种方式不太合适，还好还有一个替代方案：Sonarqube，通过在 .gitlab-ci.yml 中的设置，可以使用 Sonarqube 对代码进行扫描，接收到 Commit 之后，Sonarqube 会生成针对提交的代码质量提示，如图所示：
现如今大家越来越认识到质量前移的重要性。如果一开始就写出优质的、经过测试的代码，那么后面的测试阶段将会减少很多不必要的时间。如果开发人员迫于业务压力，一味追求项目开发进度，往往会容易形成大量的“烂代码”。 一般的烂代码体现在逻辑混乱、复杂度高、易读性差、没有单元测试和缺乏必要的注释。如果把这样的“烂代码”编译交付测试团队，那么测试人员势必会发现很多低级缺陷，甚至连冒烟测试都无法通过，这样势必会浪费很多时间，延误测试进度。 所以，回到开始，为何不一开始就是写出优质代码呢？
SonarQube 是一个用于代码质量管理的开源平台，用于管理源代码的质量。同时 SonarQube 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 SonarQube。此外， SonarQube 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。 官方网址：https://www.sonarqube.org/ 通过插件形式，可以支持包括 Java,C#,C/C++、PL/SQL、Cobol、JavaScrip、Groovy、Ruby 等二十五种编程语言的代码质量管理与检测，针对不同的编程语言其所提供的分析方式也有所不同：对于所有支持的编程语言，SonarQube 都提供源了代码的静态分析功能；对于某些特定的编程语言，SonarQube 提供了对编译后代码的静态分析功能。 SonarQube 支持多种客户端集成方式，包括但不限于 Scanner 客户端、Ant、Gradle、Maven、Jenkins、IDEA 插件等。比较常用的为 Gradle 和 Maven。 SonarQube 并不是简单地将各种质量或覆盖率检测工具的结果（例如 CheckStyle、JaCoCo 等）直接展现给客户，而是通过不同的插件算法来对结果进行再加工，并最终以量化的方式来衡量代码质量，从而方便地对不同规模和种类的工程进行相应的代码质量管理，以便进行有针对性的代码修复或重构。 SonarQube 在进行代码质量管理时，会从以下的七个纬度对项目代码质量进行分析。 Sonar 实际上是一个 Web 系统，展现了静态代码扫描的结果，结果是可以自定义的，而真正实现代码扫描的是 Sonar Scanner 这个工具，另外同时支持多种语言的原理是它的扩展性，通过插件实现的，也就是 Java Jar 架包，可以在 Sonar 平台上在线安装或者离线安装。 1.已安装 JDK1.8 环境 2.已安装 Maven（用于后期与 SonarQube、JaCoCo 的集成） 3.已安装 MySQ L数据库（Sonar 默认的数据库是自带 H2 数据库，是很小的嵌入式数据库引擎，这里的配置换成了 MySQL，为了方便通过数据库客户端进行数据查询） 1.下载 SonarQube，地址为: Download | SonarQube 2.配置数据库（下面的SQL是指定了schema为sonar，password为sonar，其中第四条SQL是localhost是因为MySQL安装在本地） 3.安装 SonarQube I. 将下载的 sonar-3.7.zip 包解压至 Windows某个路径，如 D:\Tools\sonar（如是其他OS，请选择对应路径，如Linux的/usr/local/等）。 II. 修改 sonar.properties 在 /conf/sonar.properties 文件中，配置数据库设置（默认已经提供了各类数据库的支持这里使用 MySQL，因此取消 MySQL 模块的注释），同时因为端口冲突而改成端口为 11000。 III.在 /bin/ 目录下，运行 /windows-x86-64/StartSonar.bat （因为本 demo 是在 win10 64位安装的，如果是 Linux 的话，运行 nohup bash sonar.sh start &） IV. 访问 http://localhost:11000，如果不是本机就输入 http://[remote IP]:11000，如果你看到下图所示即证明配置成功。 4.用 admin/admin（默认）进行登录，并安装汉化包 Chinese pack installation Chinese pack restart Chinese pack restart confirm Well done!
SonarQube 是一款用于代码质量管理的开源工具，它主要用于管理源代码的质量。 通过插件形式，可以支持众多计算机语言，比如 java, C#, go，C/C++, PL/SQL, Cobol, JavaScrip, Groovy 等。sonar可以通过PMD,CheckStyle,Findbugs等等代码规则检测工具来检测你的代码，帮助你发现代码的漏洞，Bug，异味等信息。以下转自自己的CSDN博客：（关于截图背景颜色请无https://blog.csdn.net/qq_17238449/article/details/97392513
如果每次都需要手动执行 SonarScanner ，肯定不是 DevOps 思想所不予许的。所以需要进一步完善 SonarQube 进行自动化代码分析。从官方文档的
静态代码分析是指在不运行代码的方式下，通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描的技术。它的目的是验证代码是否满足规范性、安全性、可靠性、可维护性的要求。
SonarQube是一个开源的代码质量管理平台，用于对代码进行静态代码分析、代码质量评估、检测代码漏洞和代码重复等。它提供了一个集中的仪表板，可以帮助开发人员和团队实时监测和跟踪代码质量，以及改进代码的可读性、可维护性和可靠性。 SonarQube支持多种编程语言，包括Java、C/C++、C#、JavaScript、Python等，可以分析和检测这些语言的代码，并提供详细的报告和指导建议。它使用了静态代码分析来检测代码中的常见问题，如代码重复、代码复杂度、安全漏洞、潜在的错误和坏味道等。 SonarQube的工作原理是通过插件和规则来对代码进行分析和评估。它提供了一系列的规则集，可以根据项目的需要进行配置和扩展。开发人员可以通过将SonarQube与版本控制系统集成，实现持续集成和自动化分析，以便在代码提交前及时发现和解决问题。 SonarQube还提供了一些高级功能，如代码覆盖率、复杂度热点、技术债务、代码质量门禁等。它还支持与Jenkins、GitLab等工具的集成，方便在开发流程中进行代码质量监控和管理。 总之，SonarQube是一个功能强大的代码质量管理平台，可以帮助开发人员提高代码质量，减少技术债务，并提供可靠的代码评估和建议。
SonarQube 是一个用于代码质量管理的开源平台，用于管理源代码的质量。同时 SonarQube 还对大量的持续集成工具提供了接口支持，可以很方便地在持续集成中使用 SonarQube。此外 SonarQube 的插件还可以对 Java 以外的其他编程语言提供支持，对国际化以及报告文档化也有良好的支持。
SonarQube是一个代码质量管理工 具，能对20多种编程语言源码进行代码味道( Code Smells)、Bug、 安全漏洞方面的静态分析。SonarQube有4个版本:开源版、开发者版、企业版、数据中心版( Data Center Edition)。
在需要检测的单个文件或者单个项目上右键 --> Analyze --> Analyze with SonarLint
编写docker-compose文件 version: "3" services: sonar: image: sonarqube:8.4.2-community container_name: sonar hostname: sonar restart: always depends_on: - pgsql ports: - 9000:9000 environment: - SONAR_JDBC_URL=jdb
本文介绍了SonarQube版本更新升级的方法。包括SonarQube升级指南和9.9版本更新说明。
Alpine 版本 3.17 JDK版本 17.0.9_3.17 / 11.0.17 / 8u265
这里推荐使用docker进行搭建，其他方式搭建，可参考之前的文章：SonarQube环境搭建
SonarQube除了开源的社区版之外，还有开发者版、企业版和数据中心版等不同的发行版本，以满足不同类型的客户需求。以下是根据SonarSource官网整理的各个版本之间的差异。
SonarQube是DevOps实践中主流的一款质量内建工具，过插件机制，Sonar 可以集成不同的测试工具，代码分析工具，以及持续集成工具，比如pmd-cpd、checkstyle、findbugs、Jenkins。
开发人员在IDE开发代码，可以安装SonarLint插件进行提交前代码扫描 当开发人员提交代码到版本控制系统中，自动触发jenkins进行代码扫描。
在devops流水线中，所有的代码都存储在代码仓库中，通过git的一些方法可以完成代码的codereview的卡点设置，那么下一步需要搭建的服务是什么呢？下一步就是Sonar，通过Sonar完成代码质量的管理。
IP:192.168.1.199，已经安装jenkins和mysql5.6
当前市面上开源的支持语言种类比较多的代码质量管控平台并不多，选择sonarqube的原因另外一个层面大家也可以看到，码云上面的代码分析也是基于sonarqube的(估计是在此基础上进行了二开)，如下图所示：
SonarQube是一款开源的代码质量检查工具，主要用于源代码的质量检查，是devops流水线中很常用的一个工具，以插件化的形式，支持多种编程/脚本语言的代码分析，同时也提供了对常用IDE工具的支持。
SonarQube 是一套代码质量管理平台，可以快速定位一系列代码问题或潜在风险，借此提高代码质量。且应用程序通常一次使用多种编程语言，SonarQube 会自动检测这些语言并调用相应的分析器。
对代码进行静态扫描是一种非常常见的代码质量保证手段，这种扫描不仅仅可以检查到代码中的缺陷，应用各种业界最佳实践，也可以检查出安全方面的漏洞，给予项目代码全方位的提升。在各种代码扫描方案之中，SonarQube 最为人熟知，应用最为广泛。各种持续集成方案都有自己的方式融入 SonarQube 进行代码的静态扫描工作。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
