本文基于上一篇Jenkins+Gitlab搭建CICD流程入门 - (jianshu.com)做sonarqube的集成和制品的管理。
一、集成sonarqube
1.1 使用sonarqube
关于Sonarqube的搭建和使用入门可以参考：Sonarqube的搭建和使用入门 - (jianshu.com)
首先我们登录Jenkins，在市场中确保安装了SonarQube Scanner插件；有了该插件下面才能在Jenkins上对sonarqube进行配置。
然后，我们在sonarqube的个人账户处生成访问令牌，供Jenkins后面使用。
再回到Jenkins中，我们就可以对sonarqube进行配置了，在Jenkins的manage Jenkins > configure system > sonarqube servers中进行配置：
然后我们的项目中需要增加关于sonarqube的配置，增加sonar-project.properties，内容如下：
sonar.projectKey=java-cicd-test
sonar.projectName=java-cicd-test
sonar.projectVersion=1.0
sonar.sources=.
sonar.sourceEncoding=UTF-8
sonar.java.binaries=target/classes
最后，我们可以开始对项目进行提交，触发gitlab的webhook进行Jenkins Pipeline任务了。
在Pipeline中我们定义了两个阶段，第一阶段做编译打包，第二个阶段做代码检查，此处代码检查阶段可以用两种方式进行。
方式一：直接使用下载的sonar-runner进行扫描检查
我们下载好sonar-runner后，直接在Jenkinsfile配置如下：
pipeline {
agent any
stages {
stage('Build') {
steps {
bat 'mvn -B -DskipTests clean package'
}
}
stage('Check') {
steps {
withSonarQubeEnv('sonar-qube'){
bat 'D:\\sonar-scanner\\sonar-scanner-4.7.0.2747-windows\\bin\\sonar-scanner.bat'
}
}
}
}
}
这样配置的意思就是使用指定的sonar-scanner进行扫描并将结果上传，而不使用maven。
方式二：使用maven进行扫描检查
这种方式，就不需要下载sonar-scanner扫描器了，只要修改Jenkinsfile内容如下：
pipeline {
agent any
stages {
stage('Build') {
steps {
bat 'mvn -B -DskipTests clean package'
}
}
stage('Check') {
steps {
withSonarQubeEnv('sonar-qube'){
bat "mvn sonar:sonar"
}
}
}
}
}
1.2 设置sonarqube回调
在上面的流程中，Jenkins只是负责触发sonarqube任务，并不关心检查结果也拿不到检查结果，如果我们想做一个质量门禁，比如sonarqube检查不通过，就不允许发布，那么该如何设置呢。
首先，我们在sonarqube的配置 > 配置下拉 > 网络调用菜单下，创建一个新的网络调用：
然后我们设置一个严苛的质量阈，并将其设置为默认生效状态，该质量域要求代码异味大于0则表示质量不过关。（我们的项目此时是存在异味的，所以sonarqube质量域检查肯定是不通过的）
我们将Jenkins Pipeline设置如下：
pipeline {
agent any
stages {
stage('Build') {
steps {
bat 'mvn -B -DskipTests clean package'
}
}
stage('Check') {
steps {
withSonarQubeEnv('sonar-qube'){
bat "mvn sonar:sonar"
}
}
}
stage('Deploy') {
steps {
bat 'echo "deploy..."'
}
}
}
}
然后提交代码运行pipeline，发现此时流水线三个步骤全部运行成功，这是因为sonarqube配置的webhook回调还没有生效，不会将检查结果返回给Jenkins。
然后我们在Pipeline中新增一个阶段，用来做质量门禁：
pipeline {
agent any
stages {
stage('Build') {
steps {
bat 'mvn -B -DskipTests clean package'
}
}
stage('Check') {
steps {
withSonarQubeEnv('sonar-qube'){
bat "mvn sonar:sonar"
}
}
}
stage('Quality Gate') {
steps {
timeout(time: 1, unit: 'HOURS') {
waitForQualityGate abortPipeline: true
}
}
}
stage('Deploy') {
steps {
bat 'echo "deploy..."'
}
}
}
}
然后再运行Pipeline，就会发现流水线在Quality Gate阶段就失败了。
Pipeline的输出日志如下：
[Pipeline] }
[Pipeline] // withSonarQubeEnv
[Pipeline] }
[Pipeline] // stage
[Pipeline] stage
[Pipeline] { (Quality Gate)
[Pipeline] timeout
Timeout set to expire in 1 小时 0 分
[Pipeline] {
[Pipeline] waitForQualityGate
Checking status of SonarQube task 'AYPKPRcZLrv95dAM4d1H' on server 'sonar-qube'
SonarQube task 'AYPKPRcZLrv95dAM4d1H' status is 'PENDING'
SonarQube task 'AYPKPRcZLrv95dAM4d1H' status is 'SUCCESS'
SonarQube task 'AYPKPRcZLrv95dAM4d1H' completed. Quality gate is 'ERROR'
[Pipeline] }
[Pipeline] // timeout
[Pipeline] }
[Pipeline] // stage
[Pipeline] stage
[Pipeline] { (Deploy)
Stage "Deploy" skipped due to earlier failure(s)
[Pipeline] }
[Pipeline] // stage
[Pipeline] }
[Pipeline] // withEnv
[Pipeline] }
[Pipeline] // node
[Pipeline] End of Pipeline
ERROR: Pipeline aborted due to quality gate failure: ERROR
Finished: FAILURE
我们尝试修改sonarqube的质量域标准，让当前项目能通过质量检查。
再次运行Pipeline，发现流水线就又能成功通过了，且sonarqube的质量域检查也通过了。
PS：本实验最后一步在运行Pipeline的时候遇到了如下问题，如果你也遇到了，可以参考如下方法解决：
org.sonarqube.ws.client.HttpException: Error 404 on http://localhost:9000/api/ce/task?id=AYPBRGBs4CEx_mK0Yv1p : {"errors":[{"msg":"No activity found for task \u0027AYPBRGBs4CEx_mK0Yv1p\u0027"}]}
at org.sonarqube.ws.client.BaseResponse.failIfNotSuccessful(BaseResponse.java:36)
at hudson.plugins.sonar.client.HttpClient.getHttp(HttpClient.java:38)
at hudson.plugins.sonar.client.WsClient.getCETask(WsClient.java:51)
at org.sonarsource.scanner.jenkins.pipeline.WaitForQualityGateStep$Execution.checkTaskCompleted(WaitForQualityGateStep.java:238)
at org.sonarsource.scanner.jenkins.pipeline.WaitForQualityGateStep$Execution.start(WaitForQualityGateStep.java:175)
at org.jenkinsci.plugins.workflow.cps.DSL.invokeStep(DSL.java:322)
at org.jenkinsci.plugins.workflow.cps.DSL.invokeMethod(DSL.java:196)
at org.jenkinsci.plugins.workflow.cps.CpsScript.invokeMethod(CpsScript.java:124)
at jdk.internal.reflect.GeneratedMethodAccessor256.invoke(Unknown Source)
at java.base/jdk.internal.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
该问题是由于Jenkins当前工作空间workspace下存在旧的report-task.txt导致的，原因可以参考Sonarqube v.4 TFS 任务“Publish Quality Gate Result”抛出错误“Could not fetch task for ID”答案 - 爱码网 (likecs.com)
[INFO] Analysis total time: 14.472 s
[INFO] ------------------------------------------------------------------------
[INFO] BUILD SUCCESS
[INFO] ------------------------------------------------------------------------
[INFO] Total time: 20.253 s
[INFO] Finished at: 2022-10-12T10:13:01+08:00
[INFO] ------------------------------------------------------------------------
[Pipeline] }
WARN: Found multiple 'report-task.txt' in the workspace. Taking the first one.
C:\Users\zhangxun\.jenkins\workspace\java-cicd-test\.scannerwork\report-task.txt
C:\Users\zhangxun\.jenkins\workspace\java-cicd-test\target\sonar\report-task.txt
[Pipeline] // withSonarQubeEnv
[Pipeline] }
[Pipeline] // stage
[Pipeline] stage
[Pipeline] { (Quality Gate)
[Pipeline] timeout
Timeout set to expire in 1 小时 0 分
[Pipeline] {
[Pipeline] waitForQualityGate
Checking status of SonarQube task 'AYPBRGBs4CEx_mK0Yv1p' on server 'sonar-qube'
参考如上Jenkins Pipeline的输出日志，来到自己的workspace目录下，将项目删除重新启动Pipeline即可解决。