docker搭建代码审计平台sonarqube

一、代码审计关注的质量指标

• 代码坏味道
  • 代码规范
  • 技术债评估
• bug和漏洞
• 代码重复度
• 单测与集成
  • 测试用例数量
  • 覆盖率

二、静态分析技术分类

• 代码静态检查
  • 代码分析:lint系列，通过分析语法树和源代码，检查代码规范
  • 编译器分析:借助于编译器获得代码关系
• 字节码静态分析
  • 分析jar、war、dex等格式的文件，代表工具:fndbugs

三、sonarqube流程

四、快速搭建sonarqube

db_instance=postgres_prod
sonarqube_instance=sonarqube_prod
data_dir=/root/sonarqube
#创建数据目录
mkdir -p $data_dir
mkdir $data_dir/postgresql
mkdir $data_dir/sonarqube_data
mkdir $data_dir/sonarqube_extensions
mkdir $data_dir/sonarqube_logs
chmod -R 777 $data_dir

#创建网络
docker network create sonarqube
#启动pg数据库
docker run -d \
    --name $db_instance \
    --network sonarqube \
    -p 5432:5432 \
    -e POSTGRES_USER=sonarqube \
    -e POSTGRES_PASSWORD=sonarqube \
    -e PGDATA=/var/lib/postgresql/data/pgdata \
    -v $data_dir/postgresql:/var/lib/postgresql/data \
    postgres

sysctl -w vm.max_map_count=524288
sysctl -w fs.file-max=131072
ulimit -n 131072
ulimit -u 8192

#启动soarqube的产品部署
docker run -d \
    --name $sonarqube_instance \
    --network sonarqube \
    -p 9000:9000 -p 9092:9092 \
    -e SONARQUBE_JDBC_USERNAME=sonarqube \
    -e SONARQUBE_JDBC_PASSWORD=sonarqube \
    -e SONARQUBE_JDBC_URL="jdbc:postgresql://$db_instance/sonarqube" \
    -v $data_dir/sonarqube_data:/opt/sonarqube/data \
    -v $data_dir/sonarqube_extensions:/opt/sonarqube/extensions \
    -v $data_dir/sonarqube_logs:/opt/sonarqube/logs \
    sonarqube
    docker start sonarqube_hogwarts_prod

• 查看日志：docker logs -f sonarqube_prod
• 搭建完成后网页输入http://ip:9000/访问，默认用户名密码是admin，进入以后可以改密码，首页长这样
  
• 页面介绍：
  • project：项目tab，可以在里面创建一个项目
  • issues：报告出来的问题
  • rules：系统总共有多少规则需要配置
  • quality profiles：包含了一系列rules的配置文件，用于代码分析
  • quality gates：类似断言
  • administration：管理员面板
• 安装插件
  • java常用插件有Checkstyle，Findbugs，PMD，SonarJS，SonarJava（后面这3个我找不到了，不知道是不是我版本太高了哈哈）
    
• 我们可以在/root/sonarqube/sonarqube_extensions/downloads查看到下载内容
  
• 下载完记得要重启
  

五、sonarqube scanner的安装和使用

• 安装scanner并配置环境变量

# 下载
wget https://binaries.sonarsource.com/Distribution/sonar-scanner-cli
/sonar-scanner-cli-5.0.1.3006-linux.zip
# 解压
yum -y install unzip
unzip sonar-scanner-5.0.1.3006-linux
# 修改conf配置的全局变量，改成自己的sonarqube地址，还有login密码并保存
cd sonar-scanner-5.0.1.3006-linux/
vim conf/sonar-scanner.properties 

# 配置环境变量
vim /etc/profile
# 添加上
SONARSCANNER_HOME=/root/sonarqube/sonarqube_extensions/downloads/sonar-scanner-5.0.1.3006-linux PATH=$PATH:$SONARSCANNER_HOME/bin
export SONARSCANNER_HOME PATH
# 使其生效
source /etc/profile
# 检查sonarscanner是否配置成功：
sonar-scanner -h

• 使用sonar-scanner分析基础项目

# 下载sonar官方案例
git clone git@gitee.com:TheOctopus/sonar-scanning-examples.git
# 切换路径
cd sonar-scanning-examples
# 修改properties配置文件的前三个参数,projectVersion可以改成与项目一致的版本号并保存
cd /root/sonar-scanning-examples/sonarqube-scanner
vim sonar-project.properties

• 进行分析