sonarqube基础：扫描规则：3: 指定Quality Profile进行代码扫描

这篇文章以前面创建的Spring boot2的web应用为例，使用自定义的Quality Profile来进行质量的检查。

事前准备

关于spring boot+maven+jacoco+sonarqube+junit等相关基础，请参看 spring快速入门系列中的整理，此处不再赘述。

• spring快速入门： https://blog.csdn.net/column/details/13907.html

Quality Profile准备

根据前一篇文章的整理，请自行准备自己的Quality Profile，比如这里根据sonarqube的三种分类方式整理如下三种Quality Profile：

Quality Profile	说明
java-sonarway-bug.xml	缺陷相关的规则
java-sonarway-vulnerability.xml	脆弱性相关的规则
java-sonarway-codesmell.xml	代码改善相关的规则

命令执行

执行如下命令，生成响应的Quality Profile，当然使用UI进行直接操作也没有问题。

curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]
curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]
curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]

结果确认

执行中需确认规则是否都成功导入，ruleFailures的个数应该为0

liumiaocn:java liumiao$ curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]
{"profile":{"key":"java-java-sonarway-bug-65847","name":"java-sonarway-bug","language":"java","isDefault":false,"isInherited":false,"languageName":"Java"},"ruleSuccesses":75,"ruleFailures":0}liumiaocn:java liumiao$ 
liumiaocn:java liumiao$ curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]
{"profile":{"key":"java-java-sonarway-codesmell-25578","name":"java-sonarway-codesmell","language":"java","isDefault":false,"isInherited":false,"languageName":"Java"},"ruleSuccesses":159,"ruleFailures":0}liumiaocn:java liumiao$ 
liumiaocn:java liumiao$ curl -X POST -uadmin:admin http://localhost:32003/api/qualityprofiles/restore --form [email protected]
{"profile":{"key":"java-java-sonarway-vulnerability-91184","name":"java-sonarway-vulnerability","language":"java","isDefault":false,"isInherited":false,"languageName":"Java"},"ruleSuccesses":20,"ruleFailures":0}liumiaocn:java liumiao$ 
liumiaocn:java liumiao$ 

执行后从Sonarqube的管理页面也能看到成功导入的状况

指定Quality Profile

指定方式

缺省方式下，使用的是Sonar way进行扫描，如果指定-Dsonar.profile则可指定相应的Quality Profile进行扫描。

死而不僵的sonar.profile
需要说明的是，此项功能在4.2之后已经是一个deprecated的状态了，直到目前的版本7仍然是此种状态。官方给出的解释是：通过Web界面你可以很容易的进行定制你自己需要的Profile，而且认为这种事情应该在server端做。
由于此项功能尚在被广泛使用，并且目前也没提供除了手动操作之外的其他解决方案，相当于直接废弃一项功能，大概是这个原因虽然从4开始deprecated了，但是一直到版本7都是可以使用的。这里使用LTS版本5.6.5进行验证。
我个人的结论是：直接无视，先继续使用，因为基本也不影响使用，后面说不定就自己想通了，到时可能会有对应的替代方案出来也说不定。

执行profile

使用缺陷和脆弱性Profile

因为此处使用的例子中只有2个Code Smell，所以使用这里只检查缺陷和脆弱性的Profile是无法检出任何问题的。

使用缺陷Profile检查：mvn sonar:sonar -Dsonar.host.url=http://localhost:32003 -Dsonar.profile=java-sonarway-bug

使用安全Profile检查：mvn sonar:sonar -Dsonar.host.url=http://localhost:32003 -Dsonar.profile=java-sonarway-vulnerability

使用这两个profile，都是0检出

使用Code Smell的Profile

使用Code Smell的Profile检查：mvn sonar:sonar -Dsonar.host.url=http://localhost:32003 -Dsonar.profile=java-sonarway-codesmell

结果确认如下，可以看到检出两个Code Smell的问题。

总结

使用sonar.profile则可使用maven方式或者sonar-scanner方式使用企业自行裁剪的Quality Profile，虽然这里只能裁剪，但是也已经能够满足不少实际的需求了。