QA如何做静态代码分析

刹那，我就知道这次代码改动的质量如何，是不是引进了新的bug，哪行代码写的不好，哪个功能需要重构， 你觉得开发会不会对你更加佩服呢？（蜜汁微笑）

如果你发现你家厨房地上有一摊水，你是选择拿抹布擦掉就完了呢还是寻找下哪里在漏水？

静态代码检查可以使得我们在代码提交的一刹那就发现项目中的潜在问题，今天我就来讲讲如何使用SonarQube做静态代码检查。 Why SonarQube?

SonarQube provides the capability to not only show health of an application but also to highlight issues newly introduced. With a Quality Gate in place, you can fix the leak and therefore improve code quality systematically. Supports multiple programming languages (20+) Centrialize quality with reports and gates Continuous inspection and DevOps integration Follow standards: MISRA, CERT, CWE, OWASP… Large user groups: 80,000+ organizations

1.安装 如果你的代码以java开发，你需要事先安装： Java JDK 8 DB（SQL Server， MySQL， Oracle， PostgreSQL）， Sonar需要一个数据库来存储结果,Apache Derby 是Sonar自带并且默认安装使用的数据库,它能很好的用于Sonar的演示.但在实际项目中推荐使用性能更好更强大的数据库。

以我的项目Python为例，我略过过JDK 和DB（使用sonar默认）的安装，直接： 从这个页面(https://www.sonarqube.org/downloads/))下载SonarQube server. 从这个页面(https://docs.sonarqube.org/display/SCAN/Analyzing+with+SonarQube+Scanner)下载Sonar Scanner. 下载完毕后解压，在目标文件夹下的sonarqube-6.5\bin 目录下，根据你机器的系统选择文件夹打开，这里选择windows-x86-64， 看到如下文件了吗？

依次以管理员身份运行前3个bat命令，然后通过web打开页面http://localhost:9000， 如果你看到了下述页面，说明安装成功：

2.配置 由于我使用默认的db，故略过DB配置部分，直接来看基本配置： 首先，点击右上角的Login， 使用默认密码，admin， admin登录， 系统引导你生成一个新的project：

其次，看右边的提示，系统会让你去下载并安装配置sonarQube Scanner.

我们前面已经安装了，略过安装，直接配置，把scanner的bin目录加入你的环境变量：

在scanner的bin目录下， 打开sonar-scanner.properties并配置如下：

然后CMD命令执行 sonar-scanner， 你会看到：

这样就说明 scanner配置成功了，我们来分析下我们的项目！

3.使用 找到你要scann的项目目录的code repository，在根目录下建立并更新 sonar-project.properties 文件： 举例来说，我有一个ASD_API的项目，我在这个项目根目录下建立文件并修改如下：

需要注意的是projectName就是显示在网页上的项目，一般跟你的项目名称一致。 sources就是项目所在的文件夹。 其它按提示。

最后CMD, 定位到你项目所在的文件夹 ，在命令行中输入：

成功后你会看到：

此时切换到 http://localost:9000, 你将会看到：

可以看出来，此次代码改动是passed的，代码的Reliability， Security， Maintainability都很好，质量还不错嘛～ 我们点击项目名称ASD_API查看详细信息。细节处有魔鬼呀，看来此次改动还有不少问题，主要集中在code smell上：

从图中可以看出技术债务需要偿还，大约会花费1小时左右，另外还有21处不符合代码规范的地方，我们点击debt看细节：

SonarQube贴心的列出来了需要改动的地方，高亮显示并给出了修改建议：

点击我标红的部分，可以看到详细需要改动的地方，有一个分支我没有写完：

如果代码质量太差，你会看到：

想象一下，你直接告诉开发，你某个文件的某一行写的简直像个粑粑，他看后大呼，原来刘项也读书呀！是不是非常刺激？是不是非常惊喜？ 根据Sonar Scanner的扫描结果，依次review每次code change，是不是感觉对质量的把控更加有自信了?

SonarQube可以从以下几个维度来分析代码质量：

我们可以根据SonarQube 扫描出来的结果，结合项目实际，建议开发修改. 如果你们的项目跟jenkins集成，还可以添加SonarQube插件，这样每一个build生成后都会有相应的代码分析结果参考。

利用SonarQube进行静态代码分析， 真正做到了从源头解决问题，也使得我们测试人员对代码改动更有信心，怎么样？ 赶快用起来吧！