苏州华克斯信息-山西sonarqube静态安全扫描工具

SonarSource交付管道， 

持续的交付和 DevOps 是众所周知的和广泛传播的做法现在。人们普遍认为， 重要的是组建伟大的团队， 首先定义共同的目标， 然后选择和整合适合于给定任务的工具。通常， 它是一个轻量级工具的混搭，中国sonarqube静态安全扫描工具， 它们集成在一起建立连续的交付管道并支持 DevOps 的计划。在这个博客文章中， 我们放大到了整个管道的一个重要部分， 这就是经常被称为连续检查的学科， 它包括检查代码并在上面注入一个质量门， 并显示在达到质量门后如何上传工件。DevOps 的启用工具包括詹金斯、SonarQube 和 Artifactory。

的用例你已经知道质量不能在事后被注入， 而是从一开始就应该是过程和产品的一部分。作为一种常用的良好做法， 强烈建议您尽快检查代码并使结果可见。因为 SonarQube 是一个很好的选择。但 SonarQube 不只是运行在任何孤立的岛屿， 它是集成在一个输送管道。作为管道的一部分， 代码被检查， 并且仅当代码根据定义的要求是好的， 换句话说: 它满足质量门， 被建立的工件被上传到二进制存储库管理器。

让我们考虑下面的场景。其中一个繁忙的开发人员必须修复代码， 并检查对中央版本控制系统的更改。白天很长， 晚上很短， 而且对所有团队的承诺， 开发人员没有检查本地沙箱中代码的质量。幸运的是， 有构建引擎詹金斯作为一个单一的真理点， 实现交付管道与其本地管道功能， 并作为一个方便的巧合 SonarQube 有支持詹金斯管道。

此更改将触发管线的新运行。哦不！生成管线中断， 并且未进一步处理更改。在下面的图像中， 您会看到已定义的质量门被忽略。可视化是由詹金斯蓝色海洋完成的。

01 PipelineFailedBlueOcean

SonarQube 检验潜在的问题是什么？我们可以打开 SonarQube 的 web 应用程序并深入查找。在 Java 代码中， 显然没有将字符串文本放在右侧。

02发现

在团队会议中， 决定将其定义为一个阻止程序， 并相应地配置 SonarQube。此外， 建立了一个 SonarQube 质量门， 以打破任何建设， 如果一个拦截qi被确定。现在让我们快速查看代码。是的， SonarQube 是对的， 下面的代码段有问题。

03 FindingVisualizedInCode

我们不希望详细讨论所有使用的工具， 也涵盖完整的詹金斯构建工作将超出范围。但有趣的提取这里的检查方面是在詹金斯管道 DSL 中定义的以下阶段:

配置. xml: SonarQube 检查阶段 ("SonarQube 分析") {withSonarQubeEnv ("声纳") {mvn 组织 sonarsource 扫描仪. maven: 声纳-maven-插件: 3.3. 0.603: 声纳 +"-f 所有/pom" xml +"-Dsonar projectKey = com. huettermann: 全部: 主" +"-Dsonar" 登录 = $ SONAR_UN +"-Dsonar" 密码 = $ SONAR_PW +"-Dsonar" 语言 = java +"-Dsonar。" 的+"-Dsonar。" 的+-Dsonar 测试. 夹杂物 = ** 测试 *** +"-Dsonar. 排除/**/** 测试 ***"}}用于运行 SonarQube 分析的阶段。允许选择要与之交互的 SonarQube 服务器。运行和配置扫描仪， 许多可用的选项， 请检查文档。许多选项可用于集成和配置 SonarQube。请参阅文档中的替代方案。同样适用于其他覆盖的工具。SonarQube 质量门作为詹金斯管线阶段的一部分， SonarQube 配置为运行和检查代码。但这仅仅是第yi部分， 因为我们现在还想添加质量门， 以打破构建。下一阶段正好涵盖了这一点， 请参阅下一片段。管道被暂停， 直到质量门被计算， 特别是 waitForQualityGate 步骤将暂停管道， 直到 SonarQube 分析完成并返回质量门状态。如果遗漏了质量门， 则生成将中断。

SonarSource简介

我们为整个开发组织增添了价值。无论您在开发组织中的角色是什么， SonarSource 解决方案都增加了价值， 因为我们有 cutting-edge 的功能， 您需要在您的软件组合中da限度地提高质量和管理风险。为开发

软件开发人员终负责代码质量。代码质量是所谓的非功能性需求的一部分， 因此是开发人员的直接责任。因为代码质量不是应该推迟到以后进行的， 所以我们的解决方案在开发过程的每一步都提供了反馈， 从 IDE 到发布， 包括任何中间升级。这使开发人员能够对代码质量做出早期和经过教育的决策， 使他们能够更好地完成工作并提供更好的软件。开发devops为devops

DevOps 团队需要确保软件建立在正确的道路上。DevOps 队有很多责任。其中包括支持开发过程、自动化测试、确保质量、提高生产率以及终启用连续部署。良好的代码质量是实现所有这些目标的必要条件， 虽然不是充分的条件。我们的解决方案提供了一个代码质量的收费门， 可以添加在任何建设/测试/部署步骤。这使 devOps 团队能够自动执行一组质量标准， 从而确保组织提供更好的软件。为高管

SonarSource 解决方案降低了风险并提高了团队生产率。管理人员需要能够安全地操作软件， 并以成本为投资回报辩解。我们的解决方案向执行官们一目了然地展示了他们面临的操作风险以及缓解的成本。它还有现成的功能， 可以系统地改进可维护性， 从而提高开发团队的长期生产率。这使管理人员能够确保其组织提供更好的软件， 并以jia成本使用风险控制方法。

Ansible SonarQube 升级的角色

你可能知道， 并希望使用 SonarQube。这是一个伟大的工具， 是积极的发展和改善。这是伟大的， 如果你是一个开发使用 SonarQube。但是， 如果您碰巧管理 SonarQube 实例， 则由于升级指南由11步骤组成， 因此不断升级非常麻烦。

停止旧的 SonarQube 服务器

并解压新的 SonarQube 分布在一个新鲜的目录，中国sonarqube静态安全扫描工具， 让我们说 NEW_SONARQUBE_HOME

使用默认的 H2 数据库启动它， 并使用更新中心安装您需要的插件

手动安装任何自定义插件

停止新服务器

更新声纳的内容. 属性和包装. 配置文件位于 NEW_SONARQUBE_HOME/配置目录中， 其内容与 OLD_SONARQUBE_HOME/配置目录中的相关文件 (web 服务器 URL、数据库设置等) 有关。不-粘贴旧文件

如果使用了自定义 JDBC 驱动程序， 请将其到 NEW_SONARQUBE_HOME/扩展/jdbc 驱动程序/

备份数据库

删除数据/es 目录

启动新的 web 服务器

http://localhost:9000/setup (用您自己的 URL 替换 "localhost:9000") 来浏览并按照安装说明进行操作

这是一个太多的步骤， 手动执行。因此， 我决定通过为它编写一个 Ansible 的角色来实现自动化。

初始设置

在我开始编写 Ansible 剧本之前， 我需要找到一种方法来测试我的代码。所以我开始与流浪汉旋转了一个虚拟机， 并提供了一个简单的脚本。这是需要有类似的环境， 以我们的实际 SonarQube 生产实例。我能够增量地构建我的 Ansible 剧本并在这个 VM 上测试它。很快我就明白了， 与流浪汉一起工作会减慢我的速度， 因为我需要重置环境， 而不是的预期。所以我决定考虑泊坞窗。

用于测试的泊坞窗

我找到了正式的 SonarQube 泊坞窗图像， 但无法使用， 因为我们的 SonarQube 实例安装在 CentOS 和官fang图像使用不同的基础图像。另外， 我需要自定义特定的 SonarQube 版本我想开始。因此， 我创建了我们自己的 Dockerfile 与 CentOS 6 基地和 Ansible 安装。

此泊坞窗映像不需要启动 SonarQube， 因为我只是想验证是否进行了正确的文件更改， 而我的 Ansible 手册没有错误。升级的第yi步之一就是关闭服务器。

我将我的剧本装入容器， 并在该容器内运行 Ansible， 对该本地环境进行了更改。

当前脚本的路径

TESTS_DIR = $ (cd "$ (dirname" $ {BASH_SOURCE [0]} ")" & & 密码 "

# 命令测试剧本

TEST_COMMAND = "cd/行动 & & ansible-剧本 $ @

-我 " 本地主机 "-c

升级-声纳 database.yml "

# 运行容器安装行动为卷

泊坞 run-v "$ TESTS_DIR/.。/行动/:/行动 "

"声纳-升级-测试"/"垃圾/bash-c" $ {TEST_COMMAND} "

在泊坞窗中运行我的剧本大大减少了反馈回路， 所以我决定泊坞窗是走的路。你可以看看我所有的脚本在 GitHub

Ansible 角色

我一步一步地往前走，代理商sonarqube静态安全扫描工具， 我到达了一个点， 一切似乎都在工作， 我有一个非常有用的 Ansible 的角色在我的手中。它尚未发布到 Ansible Galaxy， 但您可以在 GitHub 的 SonarQube 升级 Ansible 角色项目下找到源文件和文档。

当前 Ansible 角色通过在当前位置旁边创建新安装来升级 SonarQube。这提供了回滚的方法 (如果需要)。

此时， 角色执行以下任务:

确保特定的根用户存在于声纳安装

在所有安装所在的目录中创建声纳. sh

确保 SonarQube 服务存在

停止 SonarQube

新版本

备份数据库

和安装插件

将自定义配置应用于新实例

确保删除数据/es

重新 SonarQube 服务启动新版本

开始 SonarQube

手动步骤

这个过程仍然需要几个手动步骤。

在运行升级手册之前， 应手动确保在升级过程中要安装的插件列表是xin的。您可以从 SonarQube 的管理视图中获得xin支持的版本号。

根据 SonarQube 的建议， 此 Ansible 角色不仅以前安装的配置，山西sonarqube静态安全扫描工具， 而且使用带有变量的模板来为新实例创建配置。这意味着在执行升级之前， 开发人员可以将模板和基本配置与新的 SonarQube 进行比较。虽然这是一个手动步骤， 但与以前的操作相比， 它更容易， 因为可以使用 IDE 而不仅仅是从命令行中的 diff 工具进行比较。

这两个步骤都需要后续的手动升级， 我认为这些升级准备活动。