Sonarqubeは、コードの欠陥、セキュリティの脆弱性、コード臭気、Javaなどの20以上の言語での重複コードを検出するために使用されるオープンソースコードの品質(zhì)管理プラットフォームであり、テストのカバレッジと複雑さを評(píng)価します。 1. Sonarqubeサーバーをインストールし、http：// localhost：9000にアクセスして、初期化を完了します。 2。Sonarscannerツールを構(gòu)成するか、Maven/Gradleプラグインを使用します。 3. Sonar-Project.Propertiesファイルをプロジェクトルートディレクトリに作成し、プロジェクト情報(bào)、ソースコードパス、コンパイル出力、およびテストレポートパスを指定します。 4. jacocoを使用してテストカバレッジレポートを生成し、mavenプラグインを介してprepare-agentとレポートの実行を構(gòu)成します。 5. MVN Clean Berify Sonar：SonarまたはSonar -Scannerコマンドを?qū)g行し、-dsonar.loginトークン認(rèn)証と組み合わせて分析結(jié)果を送信します。重要なルールには、空のキャッチブロックの避け、円の複雑さの制御、重複コードの排除、80％以上のテストカバレッジの確保、セキュリティホットスポットの処理が含まれます。質(zhì)の高いアクセス制御は、カスタム品質(zhì)のしきい値（80％以上、深刻な問題がゼロ、重複コード

Javaコードの品質(zhì)と靜的分析は、プロジェクトの長期的な保守性と安定性を確保するための重要なリンクであり、Sonarqubeは現(xiàn)在最も人気のあるコード品質(zhì)管理プラットフォームの1つです。開発チームは、潛在的な欠陥、コード臭気、セキュリティの脆弱性、およびコードの重複コードを自動(dòng)的に検出し、それによりコードの品質(zhì)を継続的に改善するのに役立ちます。

Sonarqubeとは何ですか？

Sonarqubeは、コード品質(zhì)を継続的に検査するためのオープンソースプラットフォームです。 Javaを含む20以上のプログラミング言語をサポートし、ソースコードを靜的に分析することにより、次の次元に関する洞察を提供します。

• バグ検出：ランタイムエラーを引き起こす可能性のあるコードの問題が見つかりました。
• 脆弱性の識(shí)別：SQLインジェクション、ハードコーディングされたパスワードなどのセキュリティ問題を検出します。
• コードの臭い：構(gòu)造が悪く、維持が困難なコードを指摘しています。
• 繰り返しコード：メンテナンスコストを削減するために、重複するコードブロックを特定します。
• テストカバレッジ：単體テストレポートを統(tǒng)合して、コードカバレッジを評(píng)価します。
• 複雑さ分析：クラスと方法の円の複雑さを測(cè)定して、過度の複雑さを避けます。

SonarqubeをJavaプロジェクトに統(tǒng)合する方法は？

SonarqubeをJavaプロジェクトに適用するには、通常、次の手順が必要です。

1. Sonarqubeサーバーをインストールして起動(dòng)します

   • Sonarqube（Community Edition for free）をダウンロードし、サービスを開始します（デフォルトポート9000）。
   • http://localhost:9000にアクセスして、初期構(gòu)成を完了します。

2. Sonarscannerを構(gòu)成します

   
   • Sonarscannerは、分析を?qū)g行するためのコマンドラインツールであり、ダウンロードしてシステムパスに構(gòu)成する必要があります。
   • または、Maven/Gradleプラグインを使用して、より簡単に統(tǒng)合します。

3. プロジェクトに構(gòu)成ファイルを追加します

   • sonar-project.propertiesファイルをプロジェクトルートディレクトリ、コンテンツの例：

      sonar.projectkey = my-java-project
     sonar.projectname =私のJavaプロジェクト
     sonar.projectversion = 1.0
     
     sonar.sources = src/main/java
     sonar.tests = src/test/java
     sonar.java.binaries =ターゲット/クラス
     sonar.java.test.binaries =ターゲット/テストクラス
     
     Sonar.junit.ReportPaths =ターゲット/SureFire-Reports
     Sonar.jacoco.ReportPaths =ターゲット/jacoco.exec

4. コードカバレッジレポートを生成する（Jacocoが推奨）

   • Mavenを使用している場(chǎng)合は、Jacocoプラグインを追加します。

      <プラグイン>
         <GroupId> org.jacoco </groupId>
         <artifactid> jacoco-maven-plugin </artifactid>
         <バージョン> 0.8.11 </version>
         <実行>
             <実行>
                 <ゴール>
                     <goal> prepare-agent </goal>
                 </目標(biāo)>
             </実行>
             <実行>
                 <id>レポート</id>
                 <フェーズ>テスト</phase>
                 <ゴール>
                     <ゴール>レポート</goal>
                 </目標(biāo)>
             </実行>
         </実行>
     </プラグイン>

5. ランニング分析

   • コマンドを?qū)g行します。

      MVNクリーン検証ソナー：ソナー\
       -dsonar.login = your-token \
       -dsonar.host.url = http：// localhost：9000

   • またはSonarscannerを使用してください：

      Sonar-Scanner -dsonar.login = Your-Token

注：Plantextのユーザー名とパスワードではなく、Sonarqubeによって生成されたユーザートークンを認(rèn)証用に使用することをお?jiǎng)幛幛筏蓼埂?/p>

主要な品質(zhì)ルールとベストプラクティス

Sonarqubeには何百ものルールが組み込まれていますが、Javaプロジェクトで特に注目に値するルールがあります。

• 空のキャッチブロックを避けてください
  catch(Exception e) {}は例外をマスクし、少なくともログログが必要です。

• 円の複雑さを減らす（環(huán)狀複雑さ）
  この方法は複雑すぎる（デフォルト> 10アラーム）、テストとメンテナンスが困難であり、ロジックを分割する必要があります。

• 重複コードを削除します
  Sonarqubeは同様のコードブロックをマークし、パブリックメソッドまたはクラスを抽出するように促します。

• ユニットテストカバレッジ
  を確認(rèn)してください 最小カバレッジのしきい値（行カバレッジ≥80％など）を設(shè)定し、CIプロセスで必須のチェックにすることをお?jiǎng)幛幛筏蓼埂?/p>

• セキュリティホットスポット
  ハードコーディングされた資格情報(bào)、安全でない亂數(shù)生成（ Math.random()は安全なシナリオで使用されます）など。

たとえば、Sonarqubeインターフェイスで品質(zhì)のしきい値をカスタマイズできます。

• 新しいコードのカバレッジ率は80％以上です
• ゼロ深刻な（ブロッカー）問題
• コードの繰り返し行の數(shù)

これらのルールは、JenkinsまたはGitHubアクションでのSonarqubeスキャンの統(tǒng)合、失敗した場(chǎng)合にマージをブロックするなど、プロジェクトの継続的統(tǒng)合（CI）プロセスで実施できます。

ヒント：一般的な落とし穴は避けてください

• コンパイルされたClassPath構(gòu)成エラー
  sonar.java.binaries正しいコンパイルされた出力ディレクトリ（ target/classesなど）を指していることを確認(rèn)してください。そうしないと、いくつかのルールが有効になりません。

• テストレポートパスは間違っています
  sonar.junit.reportPathsおよびsonar.jacoco.reportPathsが正しく構(gòu)成されていない場(chǎng)合、カバレッジは0として表示されます。

• 増分分析と完全な分析
  Sonarqubeはデフォルトで完全な分析を?qū)g行します。変更コードのみを分析する場(chǎng)合は、 sonar-scm-provider-gitプラグインを使用して協(xié)力できます。

• 中國の注釈はコーディングの問題につながります
  ソースコードファイルがUTF-8エンコードであることを確認(rèn)して、文字セットの問題による分析の障害を回避します。

基本的にそれだけです。 Sonarqubeを強(qiáng)力にしているのは、コードの品質(zhì)を測(cè)定可能で追跡可能なプロセスに変えることです。 Javaプロジェクトの場(chǎng)合、Sonarqubeの統(tǒng)合は複雑ではありませんが、長期的な利點(diǎn)は非常に重要です - オンラインバグが少なく、保守性が向上し、より効率的なチームワークです。

以上がJavaコードの品質(zhì)とSonarqubeによる靜的分析の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國語 Web サイトの他の関連記事を參照してください。