1. 什么是Sonar?

Sonar的全称是SonarQube，是一种自动代码审查工具，用于检测代码中的错误，漏洞和代码异味。它可以与您现有的工作流程集成，以便在项目分支和拉取请求之间进行连续的代码检查。

2. 安装Sonar服务器

在使用Sonar扫描代码之前，需要先安装好postgresql数据库和sonarqube服务，我采用docker的安装方式，具体文档参考这里

Sonar支持三种数据库，这里我选择PostgreSQL

• 安装PostgreSQL
  容器启动成功后，用账号：postgres/postgres 登录测试

docker run -it --name postgres --restart always -e POSTGRES_PASSWORD='postgres' -e ALLOW_IP_RANGE=0.0.0.0/0 -v /opt/postgres/data:/var/lib/postgresql -p 5432:5432 -d postgres

• 安装sonarqube服务

docker run --rm --name sonarqube \
    -p 9000:9000 \
    -e SONAR_JDBC_URL=jdbc:postgresql://192.168.1.100:5432/postgres \
    -e SONAR_JDBC_USERNAME=postgres \
    -e SONAR_JDBC_PASSWORD=postgres \
    -v sonarqube_data:/opt/sonarqube/data \
    -v sonarqube_extensions:/opt/sonarqube/extensions \
    -v sonarqube_logs:/opt/sonarqube/logs \
    sonarqube

安装成功后，使用admin/admin账户访问，第一次登录需要修改密码，我修改为：admin123
http://192.168.1.100:9000

3. Maven工程集成sonar

经过测试发现，如果工程中不引入sonar插件也可以，执行mvn命令是会自动下载此插件

<plugin>
   <groupId>org.sonarsource.scanner.maven</groupId>
   <artifactId>sonar-maven-plugin</artifactId>
   <version>3.5.0.1254</version>
</plugin>

有两种编译方式

• 在mvn命令中通过 -D参数指定

mvn clean verify sonar:sonar -Dmaven.test.skip=true -Dsonar.host.url=http://192.168.1.100:9000 -Dsonar.login=admin -Dsonar.password=admin123

• 在pom.xml中添加配置属性

 <profiles>
       <profile>
           <id>sonar</id>
           <activation>
               <activeByDefault>true</activeByDefault>
           </activation>
           <properties>
               <sonar.jdbc.url>jdbc:postgresql://192.168.1.100:5432/postgres</sonar.jdbc.url>
               <sonar.jdbc.driver>org.postgresql.Driver</sonar.jdbc.driver>
               <sonar.jdbc.username>postgres</sonar.jdbc.username>
               <sonar.jdbc.password>postgres</sonar.jdbc.password>
               <sonar.host.url>http://192.168.1.100:9000</sonar.host.url>
               <sonar.login>admin</sonar.login>
               <sonar.password>admin123</sonar.password>
           </properties>
       </profile>
   </profiles>

因为工程里已经添加了sonar的属性，所以这里就简短了

mvn clean verify sonar:sonar -Dmaven.test.skip=true 

登录到sonar ，查看代码扫描结果

image.png

这里有几个名词解释下：

• Bugs
  代码里潜在的bug数，比如空指针异常等都能扫描到
• vulnerabilities(脆弱性)
  代码中存在的安全漏洞数
• Hotspots Reviewed
  安全热点数
• code smells
  代码之中潜在问题的警示信号，并非所有的坏味道所指示的确实是问题，但是对于大多数坏味道，均很有必要加以查看，并作出相应的修改。
• coverage
  是软件测试中的一种度量，描述程序中源代码被测试的比例和程度，所得比例称为代码覆盖率。在做单元测试时，代码覆盖率常常被拿来作为衡量测试好坏的指标