用Sonar Scanner和Jenkins扫描PHP/JavaScript/C#/HTML
本文介绍在Linux平台中使用Sonar Scanner和Jenkins扫描PHP/JavaScript/C#/HTML的方法。
前言
在本简短指南中，我们将利用SonarQube通过Sonar Scanner声纳扫描仪客户端扫描PHP或JavaScript或Java以外的其他编程语言。它的工作原理是Sonar Scanner连接到SonarQube，并扫描位于不同位置的服务器中的应用程序。对于这个例子，我们将使用Sonar Scanner和Jenkins实例，然后在CI/CD管道期间使用它来扫描应用程序。
要完成本文的目标，得要在Linux平台中安装了SonarQube和Jenkins，并且已经成功集成。下面的指南将为您提供帮助：
在Debian 11 Linux系统上安装和配置SonarQube：https://www.hmxthome.com/linux/5143.html
在Ubuntu 22.04系统上安装Jenkins Server的方法：https://www.hmxthome.com/linux/4903.html
使用Sonar Scanner和Jenkins扫描PHP/JavaScript/C#/HTML的操作步骤
步骤1、安装Sonar Scanner的说明
用户需要完成安装Sonar Scanner，如果还没有安装，可参考在Linux系统中安装Sonar Scanner声纳扫描仪一文，阅读地址在https://www.hmxthome.com/linux/5158.html。
步骤2、让Jenkins知道在哪里可以找到Sonar Scanner
在这一步中，我们将通知Jenkins声纳扫描仪已经安装，并将其指向其主目录。要完成此操作，请使用具有管理员权限的用户登录Jenkins服务器，然后单击“管理Jenkins”>“全局工具配置”（“Manage Jenkins” > “Global Tool Configuration”）：
向下滚动到“SonarQube Scanner”部分，然后单击“Add SonarQube Scanner”。您将看到一个类似表单的迷你页面，可以在其中输入详细信息。给它一个您喜欢的名称，取消选中自动安装，然后输入SONAR_RUNNER_HOME值，即我们安装Sonar Scanner的位置，即“/opt/sonarqube/sonar-scanner/bin/”。屏幕截图如下所示：
步骤3、更新您的Jenkinsfile
安装Sonar Scanner并将其主目录添加到Jenkins服务器后，是时候将扫描步骤添加到Jenkinsfile中了，以便在部署之前扫描代码并提交报告。
1、用于编写脚本的Jenkinsfile
node('master') {
def projectName = 'testProject'
stage("Sonar Scan") {
withEnv(["PATH=/usr/bin:/usr/local/jdk-11.0.2/bin:/opt/sonarqube/sonar-scanner/bin/"]) {
withSonarQubeEnv(installationName: 'sonarqube-Server', credentialsId: 'sonarqubeSecret') {
sh "sonar-scanner \
-Dsonar.projectKey=${projectName} \
-Dsonar.sources=. \
-Dsonar.host.url=${env.SONAR_HOST_URL} \
-Dsonar.login=${env.SONAR_AUTH_TOKEN} \
-Dsonar.projectName=${projectName} \
-Dsonar.projectVersion=${env.BUILD_ID}"
}
}
}
}
2、用于声明性Jenkinsfile
pipeline {
agent any
environment {
projectName = "test-project"
}
stages {
stage ("SonarQube Scan") {
steps {
withEnv(["PATH=/usr/bin:/usr/local/jdk-11.0.2/bin:/opt/sonarqube/sonar-scanner/bin/"]) {
withSonarQubeEnv(installationName: 'sonarqube-Server', credentialsId: 'sonarqubeSecret') {
sh "sonar-scanner \
-Dsonar.projectKey=${projectName} \
-Dsonar.sources=. \
-Dsonar.host.url=${env.SONAR_HOST_URL} \
-Dsonar.login=${env.SONAR_AUTH_TOKEN} \
-Dsonar.projectName=${projectName} \
-Dsonar.projectVersion=${env.BUILD_ID}"
}
}
}
}
}
}
withEnv选项将帮助Jenkinsfile从服务器中的$PATH中找到Sonar Scanner。如果您收到错误“sonar-scanner command not found”，请考虑在上面的代码中添加此选项。
您还会注意到，我们没有使用任何登录密钥和在SonarQube上创建的项目。所有这些都由我们在将Jenkins与SonarQube集成时生成的令牌来处理。SonarQubeEnv的包装器使用我们已经在Jenkins中添加的凭据为我们完成了这项工作。withSonarQubeEnv暴露“${env.SONAR_AUTH_TOKEN}”和“${env.SONAR_HOST_URL}”环境变量，这些变量被注入Sonar Scanner。可以在Jenkinsfile中设置“${projectName}”变量，如上文所示。
步骤4、为SonarQube中的各种编程语言添加缺失的插件
要扫描JavaScript、C#、CSS、Visual Basic、HTML、PHP、Python等源代码，SonarQube需要安装各种语言的插件。SonarQube安装了大部分模块。如果其中一个尚未安装，请执行以下操作。使用管理员凭据登录SonarQube，然后单击“管理”>“市场”（“Administration” > “Marketplace”）：
然后在“Plugins”部分搜索插件，如下所示：
步骤5、开始构建过程
希望每个方面都能很好地工作，并完美地集成在一起，我们可以自信地启动管道。您可以从GitHub或GitLab中的源代码触发它，也可以在Jenkins中手动构建它。扫描完成后，您应该会看到失败或成功的报告，如下所示：
结论
Sonar Scanner与SonarQube相结合，成为您安全工具包中最好的标签团队。让它们在您的CI/CD构建中为您工作，并最大限度地减少部署因可避免的安全缺陷而受损的代码的机会。