代理商sonarqube安全审计-华克斯

Sonarqube使用简介

1.SonarQube扫描方法

Jenkins中调用

通过jenkins插件调用sonarScanner或使用Maven、Gradle等内置扫描器

依据项目需要，对代码持续扫描，并将结果推送到sonarqube 进行页面展示

SonarQube Scanner

使用scanner，通过配置文件，修改项目信息，在命令行中调用scanner工具，进行扫描，并推送给sonarqube

Maven、Gradle等内置扫描器

以maven为例，需要修改maven和sonarqube配置文件，在mvn编译后，使用mvn命令，进行代码扫描，并推送给sonarqube（需要编译源代码）

sonarQube的基本使用(（三）

5.创建质量阈

点击“质量阈”，在质量阈界面，会显示当前已创建的质量阈有哪些，以及这些质量阈的规则。

点击“创建按钮”，输入名称

点击添加条件，中国sonarqube安全审计，选择条件

配置条件阀值

为该质量阈配置适用项目

6.创建/配置项目

点击“+”号创建项目，输入项目标识和显示名称，代理商sonarqube安全审计，需要注意的是，显示名称在执行代码检查之后，会被执行检查的代码项目名替代。

配置完令牌之后，会生成MVN执行检查的命令

在“项目配置”下拉框中选择“质量配置”，会出现各种语言对应的质量配置，根据该项目的编程语言选择合适质量配置。

在“项目配置”下拉框中选择“配置阈”，选择合适的配置阈。

在“项目配置”下拉框中选择“权限”，选择“私有”框，则该项目只对用户和用户组可见。

用户组选择。

sonarqube问题修改总结

二、BUG风险

1、声明应该使用Java集合接口，而不是具体的实现类，如“LinkedList”说明：声明应该使用Java集合接口，而不是具体的实现类，如“LinkedList”

原因：定义良好的接口来隐藏实现细节。

错误示例：

解决建议：

2、实体工具类应当隐藏其构造器说明：实用工具类，sonarqube安全审计，静态成员的集合，其目的并非要实例化。应该没有公共构造函数。

错误示例：

3、字符创比较上应该防止空指针异常说明：字符创比较上应该考虑到空指针异常的情况，一个变量在与字符串比较时，应当把字符串放在左边。

错误示例：