# 一、引言上一篇文章之后我们应该已经成功的部署了sonarqube程序，这一篇文章我们就来进行一次简单的本地扫描。优点： * 安全性：你可以在任何你信任的环境下执行扫描工作，而不是依赖外部安全能力 * 即时反馈：开发者可以在编写代码时获得即时反馈，了解其代码的质量和潜在问题，从而及时做出调整。 * 灵活性：开发者可以根据需要轻松地自定义扫描配置，以满足特定的需求或标准。缺点： * 资源消耗：在开发者的本地机器上运行静态代码分析工具可能会消耗大量的系统资源，特别是对于较大的代码库。 * 依赖问题：本地扫描的结果可能会受到开发者本地环境中使用的工具版本和配置的影响，这可能会导致与在其他环境中运行的扫描结果不一致。 # 二、基础配置由于通常情况下扫描会在服务器上执行，本篇的配置会涵盖mac和linux 2个部分，方便本地调试和服务器定时任务。这一篇主要通过手动操作来让大家了解一下流程，下一篇的话会通过代码来执行全自动扫描。 ## 2.1 sonarqube配置登录sonarqube，选择项目 -〉新增项目 -〉手工 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d866b320dc874b6bb4fec2dc57137ed5~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1289\&h=320\&s=73209\&e=png\&b=f6f6f6)这里我们需要为项目配置名称。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/2d6c3c2f8a9e4e97aecf465ad57ed32f~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=375\&h=426\&s=33662\&e=png\&b=f2f2f2)注：项目标识是唯一的，不允许重复，而显示名是可以重复的，为了便于区分我们可以将显示名和项目标识设置为同一个。这里我们创建test项目。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/333ac8f17d75444a95c198aaf465a361~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1268\&h=636\&s=73111\&e=png\&b=f6f6f6)选择本地。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/91debf69511842e6906ba48de245dd4c~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=674\&h=351\&s=66369\&e=png\&b=fbfbfb)我们需要创建一个令牌来实现授权，这样本地执行的扫描才能通过权限认证。可以根据自己的需要来选择过期时间，如果项目长期存在可以选择永不过期。注： * 这里的创建的令牌只允许在该项目使用，如果想偷懒的话需要创建全局令牌。 * 令牌创建好后只会显示一次，需要手动保存，如果未存储也不无法再次查看，只能重新创建。 * 令牌的创建步骤不是每个项目都需要点击一次，实际上每个扫描项目只需要在扫描时提供一个可用的令牌即可。成功创建令牌之后点击下一步就会生成一个执行命令，sonarqube支持maven、gradle、.net和其他一些语言的运行方式。本地就以主流的java maven为例。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/934ce2a02e4345bf848b1c14a4cae9dc~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1268\&h=317\&s=62943\&e=png\&b=f7f7f7)注： * projectKey就是对应的项目标识。 * url为sonarqube的访问地址，可以根据实际环境自行修改。 * login为上一步生成的令牌。 sonarqube的配置在这就结束了，接下来我们只需要在项目根目录下执行该命令即可。 ### 2.1.2 配置通用令牌上一节说到，如果想要在所有项目中使用一个通用令牌的话，可以单独创建一个。点击头像 -〉我的账号 -〉安全 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a05765921ac348fcbc4235944b10674c~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=1159\&h=500\&s=85590\&e=png\&b=fbfbfb)这里我们示范创建一个test的扫描令牌,类型为全局分析令牌则表示该令牌只能用执行扫描任务，无其他的用户操作权限。 ![的](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/16a16481977f4f12a88e1473f237f289~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=711\&h=102\&s=13242\&e=png\&b=fefefe) ## 2.2 java配置 java环境的配置相对简单，本文就简单介绍一下相对复杂的mac下安装java13的场景。直接使用brew进行安装可能会出现报错，下文提供一个手动安装的方法。首先打开找到mac对应jdk13版本进行下载。解压文件得到![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/501d665d27874362b626f2293084bd36~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=124\&h=24\&s=4646\&e=png\&b=2757d9) 此时右键访达 -》前往，输入 /usr/local/opt，将解压好的文件放到该目录下。为了方便将文件夹改名为jdk-13.0.2 注： /usr/local/opt为插件安装的默认地址，你也可以在你喜欢的任何地方作为安装目录。由于文件是网络下载的，默认出于不信任状态，即使配置了环境变量也会导致java无法正常执行。执行 ```shell xattr -dr com.apple.quarantine /usr/local/opt/jdk-13.0.2 #如果不好使的话就直接执行xattr -dr /usr/local/opt/jdk-13.0.2 ``` mac下终端通常为zsh，因此编辑配置文件\~/.zshrc 添加 ```shell export JAVA_HOME=/usr/local/opt/jdk-13.0.2/Contents/Home export PATH=$JAVA_HOME/bin:$PATH ``` 执行 source ～/.zshrc后，执行java -version,出现相关信息则安装成功 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/bf7e2914835a427a86d6a16c1187c067~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=439\&h=46\&s=17407\&e=png\&b=fbfbfb) 注：如果你的shell环境不是zsh的话，也可以检查.bashrc或 \~/.bash\_profile。~~ ## 2.3 maven仓库配置 ### 2.3.1 mac下安装maven mac下比较简单，执行: ```shell brew install maven ``` 安装完成后执行 mvn -version ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/5940a299ddb748b6b8121a767b235246~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=577\&h=84\&s=38516\&e=png\&b=fbfbfb)如果有正常输出则证明安装完成。 ### 2.3.2 linux下安装maven 我们需要从官网下载maven的二进制包，访问下载tar.gz 或zip包都可以，本文以最新的4.0版本为例。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/24db122915bd44d583b43367c955407d~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=797\&h=309\&s=95404\&e=png\&b=fefdfd) 也可以在服务器上通过wget的方式直接下载到服务器上。使用 ```shell tar -xvzf apache-maven-4.0.0-alpha-13-bin.tar.gz 或 unzip apache-maven-4.0.0-alpha-13-bin.zip ``` 完成解压后，需要创建系统变量 ```shell vi /etc/profile ``` 在文件最下面添加如下变量 ```shell export MAVEN_HOME=/usr/local/maven-4.0.0 export PATH=${MAVEN_HOME}/bin:$PATH ``` 添加完成后执行 ```shell source /etc/profile ``` 执行mvn -version。出现信息则表示环境变量添加成功。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/8dcdf9adb3684c78a11879bfae593338~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=607\&h=79\&s=35081\&e=png\&b=1d1a1a) 注：很多ai教程（chatgpt）会提示让你编辑.bashrc或.bash\_profile 这个纯属瞎编的，centos下并不存在这2个文件也无法生效，请注意甄别。 ### 2.3.3 配置maven仓库不论是mac还是linux都可以通过mvn -version查看自己的maven安装配置。访问安装目录/conf/settings.xml 如果是公共仓库不需要特定源配置，如果您使用的私有仓库，本文会以nexus仓库进行示例。编辑settings.xml 添加 ```xml nexus-snapshots user password ``` 我们可以执行mvn help:effective-settings 来检查配置是否生效 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/5bb24e6c00254da7b27ec439d9752111~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=586\&h=145\&s=46735\&e=png\&b=fcfcfc) 接下来这里我们需要配置访问仓库需要的账号密码，用于连接远程nexus仓库。在项目的pom.xml 中添加如下（如项目中的文件未指向私有仓库）： ```xml nexus-public https://url/repository/maven-public/ true true always fail ``` 至此maven的配置就完成了。 ## 2.4 sonarqube-scanner-cli 配置如果需要在本地执行扫描，我们还需要安装一个本地扫描器，就是sonarqube-scanner-cli 访问下载不同系统对应的版本。 ### 2.4.1 mac下配置sonar-scanner 还是以mac为例，解压下载下来的安装包移动至/usr/local/opt/ 目录下，改名为sonar-scanner 执行 ```shell xattr -dr com.apple.quarantine /usr/local/opt/sonar-scanner #如果不好使的话就直接执行xattr -dr /usr/local/opt/sonar-scanner ``` 编辑 \~/.zshrc，添加： ```shell export PATH="/usr/local/opt/sonar-scanner/bin:$PATH" ``` 执行 source \~/.zshrc 更新配置。执行sonar-scanner -v，出现信息则表示安装成功。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c925d969a2bb4d018d6e1cce59751e23~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=569\&h=102\&s=30808\&e=png\&b=fdfdfd) ### 2.4.2 linux下配置sonar-scanner linux下的安装相对简单，解压对应版本的压缩包。编辑 /etc/profile 添加 ```shell export SONAR_SCANNER=/data/code-review/sonar-scanner-5.0.1.3006-linux export PATH=${SONAR_SCANNER}/bin:$PATH ``` 执行source /etc/profile 执行sonar-scanner -v，如果有信息则安装成功。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/fa77557cb8304c5bb308d0fc9f9fa60e~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=321\&h=103\&s=28882\&e=png\&b=1d1a1a) # 三、执行代码扫描全部配置完成后现在就可以正常执行扫描了。在代码根目录下执行二中生成的sonarqube命令 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a9809b075015419294d88c2b3f573994~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=570\&h=205\&s=50914\&e=png\&b=fdfdfd)可以看到项目已被正常进行扫描，如果之前的maven配置正常的话，就会从指定的私有仓库拉取jar包。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/3602e5e500264ceab52aae19b1e8440d~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=556\&h=44\&s=20470\&e=png\&b=f9f9f9) 扫描全部完成后，我们就可以在sonarqube平台上查看到全部的扫描结果了。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d84ec5f4457a4b92a658e9c463a7a207~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=923\&h=142\&s=26859\&e=png\&b=fdfdfd) 至此一次手工的代码扫描就完成了，你可以在任何代码编写完成之后执行扫描，在项目key不变的情况下，sonarqube会对比2次代码扫描的差异内容并给出增量的测试结果。 ![在这里插入图片描述](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/bed83542c87d4fdc81edcd5f4efe6b56~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=953\&h=540\&s=37935\&e=png\&b=fbfbfb) 下一章我们会在手工扫描的基础上，通过python代码实现自动化创建任务并扫描。感兴趣的小伙伴可以点赞关注一下～