安全測試-sonarscanner掃描代碼

1.配置客戶端

1.安裝客戶端
sonar-scanner
下載,安裝,官網:https://docs.sonarqube.org/latest/analysis/scan/sonarscanner/
創建完成項目,右邊會有一個提示下載sonar-scanner的地方,忘截圖了
2.配置環境變量
配置變量:open ~/.bash_profile
配置生效:source ~/.bash_profile

# sonar_scanner 環境變量
export SONAR_RUNNER_HOME=/Library/sonar-scanner-4.3.0.2102-macosx
export PATH=$PATH:$SONAR_RUNNER_HOME/bin

配置后直接"sonar-scanner -h",查看版本信息

3.可以修改配置信息
ps:如果是固定的一個項目可以配置,方便管理;如果是多個項目,可不配置


文件路徑:/Users/zhangshan/sonar-scanner-4.3.0.2102-macosx/conf/sonar-scanner.properties

# sonar-scanner.properties文件配置信息
sonar.host.url=http://localhost:9000
sonar.login=圖中sonar上生成的login令牌
sonar.sourceEncoding=UTF-8

4.服務端開啟認證
默認是不開啟的,可以手動開啟;開啟令牌后就只能有令牌的進行掃描

2.開始掃描代碼

在項目的根目錄下創建文件"sonar-project.properties",每執行一個新項目都需要配置
根據不同的代碼進行配置文件
1.java代碼
選則maven,不需要配置文件,只需要java代碼集成到maven中即可

終端在項目跟目錄下執行sonar的提示

2.php\python代碼

# sonar-project.properties文件配置信息 for PHP\Python
# 項目key
sonar.projectKey=anodoo-php
# 項目名稱
sonar.projectName=anodoo-php
# 項目版本
sonar.projectVersion=1.0
# 編碼集:UTF-8
sonar.sourceEncoding=UTF-8

sonar-project.properties文件配置完成后,終端執行sonar的提示

# 終端執行
sonar-scanner \
  -Dsonar.projectKey=anodoo-php \
  -Dsonar.sources=. \
  -Dsonar.host.url=http://localhost:9000 \
  -Dsonar.login=bf99a2f1ab887a054d658cc6ccfeccd5e853f77c

PS:如果失敗了,記得最后加上-X,查看具體報錯信息

3.查看掃描結果

刷新sonar,首頁顯示掃描的結果


ps:每次可能都需要重新生效下配置文件,否則全局無法使用mvn -version或者sonar-scanner -h
open ~/.bash_profile
~ source ~/.bash_profile

相關文檔:https://www.kancloud.cn/guanfuchang/sonar/909453
作者提供了java集成到maven的demo