現代軟體越來越強，原始程式碼也越來越龐大，加上需要不斷追趕的時程，每個軟體團隊對於兼顧程式碼品質已經日漸困難。

雖然市面上已經有多種針對原始碼品質做白箱檢測的工具軟體，可惜都價格不菲，對於缺少資金的開發團隊來說，就如一道銅牆鐵壁卡在前面，無法前進。

方案介紹

沒關係，開源方案中有個套件正好可以解決這個問題。

SonarQube 是一款基於 Java 開發的原始碼檢測與品質管理系統，因著 Java 的關係，Server 與 Client 都是跨平台的。

它同時具備有商業與開源版本，本文是以社群開源版本為主。

SonarQube 提供功能豐富：

• Web 化操作介面
• 可分析多種程式語言，並可加購以支援更多種類
• 檢測安全漏洞
• 分析可靠性、重覆性、技術債務、測試覆蓋率
• 提供問題標註資訊以及程式碼改善建議
• 提供追蹤修訂機制，可以了解問題改善歷程
• 支援團隊協作，以及權限機制
• 可以細部調整程式分析的策略
• 整合 GitHub、Gitlab、LDAP、AD 等驗證機制
• 成熟的更新中心，可方便的升級系統與安裝外掛套件
• 中文操作介面 (目前簡體，據稱繁體中文快要出來了)

安裝方式

SonarQube 支援跨平台，安裝方式也相單簡單，至官方 GitHub 專案位置下載並解壓縮後，執行啟動指令檔即可運作起來。

# on linux
bin/linux-x86-64/sonar.sh start 
# on macOS
bin/macosx-universal-64/sonar.sh start
# on Windows
bin\windows-x86-64\StartSonar.bat 

接著，使用瀏覽器連接至 http://localhost:9000 即可進入使用。

在此強烈提醒，請不要使用 Firefox 瀏覽器操作 SonarQube，會發生一些匪夷所思的事，它浪費了我好幾個夜晚。

主要功能

透過更新中心，可以快速的安裝需要的功能外掛，系統與外掛升級也是在此簡單點選就可以完成。不過要特別注意外掛的授權，有些是商業套件。

更新中心

使用者可以自己決定什麼程式語言要用那些特徵做檢測，內建了非常多的規則，依據需求可以更嚴格或者更寬鬆。

規則設定

對於各種程式語言以及品質檢測的分數，可以自訂每一個項目的細節，以做為軟體品質的把關。

品質設定

Scanner

基本設定完成後，第二個階段是配置 Client 端使用 Scanner 程式，依據不同的作業系統下載相對應的 Scanner。

• Linux 64bit
  https://sonarsource.bintray.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-3.0.3.778-linux.zip

• Windows 64bit
  https://sonarsource.bintray.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-3.0.3.778-windows.zip

• macOS 64bit
  https://sonarsource.bintray.com/Distribution/sonar-scanner-cli/sonar-scanner-cli-3.0.3.778-macosx.zip

• MSBuild (dotNET 平台檢測)
  https://github.com/SonarSource/sonar-scanner-msbuild/releases/download/2.3.2.573/sonar-scanner-msbuild-2.3.2.573.zip

• 如果版本異動，請以這兩個連結為主：
  https://docs.sonarqube.org/display/SCAN/Analyzing+with+SonarQube+Scanner
  https://docs.sonarqube.org/display/SCAN/Analyzing+with+SonarQube+Scanner+for+MSBuild

將 Scanner 下載並解壓縮後，需要設定 conf 與 project 裡的設定檔，請參考官網文件。

• Sonar Scanner 設定說明
  https://docs.sonarqube.org/display/SCAN/Analyzing+with+SonarQube+Scanner

• Sonar Scanner for MSBuild 設定說明
  https://docs.sonarqube.org/display/SCAN/Analyzing+with+SonarQube+Scanner+for+MSBuild

設定完成後，在想要檢測的專案路徑下，執行 sonar-scanner 即可開始分析專案，並會把檢測結果送到伺服器上。

若您的環境中建立有 CI，您也可以把 SonarQube 掛接進去成為自動檢測的一個環節。

查看報告

最重點的時刻來了，所有分析完的結果會用非常直覺的資訊看板、圖表、數字呈現。

專案總覽

安全性指標

技術債指標

重覆率指標

問題清單

SonarQube 不僅僅是幫我們找出原始碼的各種問題，還會儘可能的提供我們問題資訊，描述原因，甚至是改善建議，這將為我們節省大量的程式修正時間。

如圖中所述，在一段 HTML 裡它建議我們把 < b > 改為較新的 < strong > 標籤。

問題改善建議

結論

SonarQube 雖然是開源軟體，但它所提供的功能並不簡單，已經俱備許多商業軟體才能擁有的進階功能，對於軟體開發團隊來說，大大節省經費，也大大節省時間。

如果您所使用的語言不在 SonarQube 支援之列，它也提供選購模組的方式來增加支援能力。

參考資料

• Code Quality and Security | SonarQube
  https://www.sonarqube.org/

• SonarSource/sonarqube: Continuous Inspection
  https://github.com/SonarSource/sonarqube