gitlab触发+gitlab_CICD+Sonar检查

原创 已于 2025-06-30 14:30:36 修改 · 3.9k 阅读 · 36 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#gitlab #ci/cd

于 2025-04-02 15:45:11 首次发布

1、SonarQube与GitLab账号打通

1.1、Gitlab 配置

使用管理员用户登录gitlab，生成一个api token, 记录该值

使用管理员用户配置gitlab 应用，添加一个sonarqube应用，回调 URL 输入 {sonarqub address}/oauth2/callback/gitlab

保存生成的应用程序ID和密码

1.2、gitlab-runner配置

也可以采用已经注册好的Runners，点击Enable即可。多个项目使用同一个Runner会出现任务排队的现象，建议每个项目申请一个自己的Runner。后端项目注册Runners时选择执行器shell，前端项目扫描使用docker容器，注册Runners时选择执行器docker。stage：merge_check 步骤的tags选择shell类型的Runners标签，其他步骤的tags根据实际注册选择Runners标签。

2、Sonarqube 配置（使用admin用户登录）

2.1、配置ALM集成Gitlab

打开，在配置 >> ALM集成 >> gitlab >> 创建配置

把刚才gitlab拿到的应用ID和密钥，以及gitlab地址填上即可

点击检查配置，验证是否成功

2.2、配置认证信息集成Gitlab，允许Gitlab用户登录

2.3、使用Gitlab用户测试登录Sonarqube

2.4、授权

Application ID：b0b97bd46bf44f4a248d981844cd9bedd7c652e41d1ecfb4416862b712a6908c
Secret：40bfd420b0265f698259ee4520cebe7bab7e2c0e8c0956101016db2d29c18e16

3、SonarQube导入gitlab项目

3.1、打开sonar页面，点击项目-->新增项目-->更多-->来自gitlab

前台js、CSS、html代码使用sonar-sccan执行的配置方法（Maven项目也可以）SONAR_TOKEN：sqa_5bdd610c97859dbeb098c844c7aec71efbb05a03

4、在gitlab上配置CI

4.1、在gitlab项目的根目录下创建sonar-project.properties、.gitlab-ci.yml文件

sonar-project.properties

sonar.projectKey=tchq_weshyper_weshyper_dev_back_end_weshyper-business-cloud_weshyper-business-cloud_AZX0eaS-JMfUzGIAM3Cb
sonar.qualitygate.wait=true
sonar.projectName=WeShyper_Business_Cloud_Sonar

sonar.projectKey是项目标识，sonar.projectName是项目名称（名称可以自己定义）

.gitlab-ci.yml

stages:
  - sonarqube-check
  - merge_check
variables:
  GIT_DEPTH: "0"
 
sonarqube-check:
  stage: sonarqube-check
  image: 
    name: sonarsource/sonar-scanner-cli:latest
    entrypoint: [""]
  variables:
    SONAR_PROJECT_FILE: "sonar-project.properties"
    SONAR_USER_HOME: "${CI_PROJECT_DIR}/.sonar"  # Defines the location of the analysis task cache
    GIT_DEPTH: "0"  # Tells git to fetch all the branches of the project, required by the analysis task
  cache:
    key: "${CI_JOB_NAME}"
    paths:
      - .sonar/cache
  script: 
    - export CI_PROJECT_KEY=$(grep -E '^sonar.projectKey=' $SONAR_PROJECT_FILE | cut -d'=' -f2)
    - sonar-scanner -Dsonar.java.binaries=. -Dsonar.sourceEncoding=UTF-8 -Dsonar.sources=. -Dsonar.qualitygate.wait=true -Dsonar.exclusions=**/config/**,**/Dockerfile,**/start.sh
#    - |
#      STATUS=$(curl -s -u "$SONAR_TOKEN:" "$SONAR_HOST_URL/api/qualitygates/project_status?projectKey=$CI_PROJECT_KEY" | grep -o '"status":"[^"]*' | cut -d'"' -f4 |head -n 1)
#      echo "SonarQube 分析状态: $STATUS"
#      if [ "$STATUS" != "OK" ]; then
#        exit 1
#      fi
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
  tags:
    - sonar-test-project-code-check
    
merge_check:
  stage: merge_check
  script:
    - |
      if [ "$CI_JOB_STATUS" = "failed" ]; then
        curl --request PUT --header "PRIVATE-TOKEN: $CI_JOB_TOKEN" \
        "http://192.168.10.21:8080/api/v4/projects/$CI_PROJECT_ID/merge_requests/$CI_MERGE_REQUEST_IID?state_event=close"
      fi
  only:
    - merge_requests
  when: on_failure
  dependencies:
    - sonarqube-check
  tags:
    - sonar-test-project-code-check

注释：其中only：生效的分支，script：执行的命令，sonar-scanner 后面可以填写自己所需要的参数，上述ci文件是只是一个模版，tags 为gitlab-runners的标签，文件中的每个tags都需要在Runners配置为Enable for this project，否则stage会因为找不到Runners一直pending。

这个按钮可检查pipeline语法

4.2、打开gitlab页面，在项目-->设置-->CICD-->General project settings选择启用Auto DevOps（非必选）

配置Variables环境变量

SONAR_TOKEN可以在sonar自己创建，也可以使用已创建的token。

4.3、在项目-->设置-->CICD-->General project settings设置.gitlab-ci.yml路径。如果放在库的根目录则默认（非必选）

4.4、打开pipeline成功才允许合并请求

4.5、提交代码测试

sonar上显示扫描通过

git上 Pipelines显示绿色passed

只有绿色的passed表示流水线执行成功，否则新提交的代码禁止合并到其他分支

前端node镜像制作Dockerfile（跳过，已配置）

FROM node:14.18.0-alpine

LABEL maintainer="qiaonannan <qnn9527@163.com>"

RUN npm config set registry=http://192.168.0.9:8081/repository/npm-group/ && \
    apk add curl unzip openjdk11 dos2unix
# 复制 sonar-scanner-cli 和 JDK 到 /opt
COPY sonar-scanner-cli-4.8.0.2856-linux.zip /opt/
#COPY jdk-8u202-linux-x64.tar.gz /opt/

# 解压 sonar-scanner-cli
WORKDIR /opt/
RUN unzip sonar-scanner-cli-4.8.0.2856-linux.zip && \
    mv sonar-scanner-4.8.0.2856-linux sonar-scanner && \
    #rm -rf /opt/sonar-scanner/jre && \
    rm -rf sonar-scanner-cli-4.8.0.2856-linux.zip
# 设置 Java 环境变量
#ENV JAVA_HOME=/opt/jdk1.8.0_202
#ENV PATH=$JAVA_HOME/bin:$PATH
#ENV SONAR_SCANNER_OPTS="-Djava.home=$JAVA_HOME"

RUN ln -s /opt/sonar-scanner/bin/sonar-scanner /usr/local/bin/sonar-scanner

前端eslint项目扫描配置文件.gitlab-ci.yml

stages:
  - eslint_check
  - sonarqube-check
  - merge_check

variables:
  GIT_DEPTH: "0" 
  
# 运行 ESLint 并生成报告
eslint_lint:
  stage: eslint_check
  image: node-sonar-scanner:14.18-4.7.0
  script:
    - npm install && npm run lint:report || false  # 生成 ESLint JSON 报告失败后导致后续流水线失败
  artifacts:
    paths:
      - report.json  # 生成的 ESLint 结果文件
  tags:
    - eslint-docker-runner
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'

sonarqube-check:
  stage: sonarqube-check
  image: 
    name: node-sonar-scanner:14.18-4.7.0
    entrypoint: [""]
  variables:
    SONAR_PROJECT_FILE: "sonar-project.properties"
    SONAR_USER_HOME: "${CI_PROJECT_DIR}/.sonar"
  cache:
    key: "${CI_JOB_NAME}"
    paths:
      - .sonar/cache
  dependencies:
    - eslint_lint
  script: 
    - export CI_PROJECT_KEY=$(grep -E '^sonar.projectKey=' $SONAR_PROJECT_FILE | cut -d'=' -f2)
    - sonar-scanner -Dsonar.java.binaries=. -Dsonar.sourceEncoding=UTF-8 -Dsonar.sources=. -Dsonar.qualitygate.wait=true  -Dsonar.exclusions=**/public/**,**/build/**,**/src/framework/utils/**  -Dsonar.eslint.reportPaths=report.json
#    - |
#      STATUS=$(curl -s -u "$SONAR_TOKEN:" "$SONAR_HOST_URL/api/qualitygates/project_status?projectKey=$CI_PROJECT_KEY" | grep -o '"status":"[^"]*' | cut -d'"' -f4 |head -n 1)
#      echo "SonarQube 分析状态: $STATUS"
#      if [ "$STATUS" != "OK" ]; then
#        exit 1
#      fi
  allow_failure: false
  rules:
    - if: '$CI_PIPELINE_SOURCE == "merge_request_event"'
  tags:
    - eslint-docker-runner

 
merge_check:
  stage: merge_check
  script:
    - |
      if [ "$CI_JOB_STATUS" = "failed" ]; then
        curl --request PUT --header "PRIVATE-TOKEN: $CI_JOB_TOKEN" \
        "http://192.168.10.21:8080/api/v4/projects/$CI_PROJECT_ID/merge_requests/$CI_MERGE_REQUEST_IID?state_event=close"
      fi
  only:
    - merge_requests
  when: on_failure
  dependencies:
    - sonarqube-check
  tags:
    - sonar-test-project-code-check

5、

目录

1、SonarQube与GitLab账号打通

1.1、Gitlab 配置

1.2、gitlab-runner配置

2、Sonarqube 配置（使用admin用户登录）

2.1、配置ALM集成Gitlab

2.2、配置认证信息集成Gitlab，允许Gitlab用户登录

2.3、使用Gitlab用户测试登录Sonarqube

2.4、授权

3、SonarQube导入gitlab项目

3.1、打开sonar页面，点击项目-->新增项目-->更多-->来自gitlab

4、在gitlab上配置CI

4.1、在gitlab项目的根目录下创建sonar-project.properties、.gitlab-ci.yml文件

4.2、打开gitlab页面，在项目-->设置-->CICD-->General project settings选择启用Auto DevOps（非必选）

4.3、在项目-->设置-->CICD-->General project settings设置.gitlab-ci.yml路径。如果放在库的根目录则默认（非必选）

4.4、打开pipeline成功才允许合并请求

4.5、提交代码测试

5、常见问题总结


1、前端vue项目扫描，分为Vue2和Vue3项目，编译时依赖node14版本选择镜像node-sonar-scanner:14.18-4.7.0，编译时依赖node20版本选择镜像node-sonar-scanner:20.14-4.7.0

2、前端vue项目扫描会因为代码格式问题报错导致流水线失败，需要先将代码格式化后再次扫描（参考：http://192.168.10.21:8000/tchq/weshyper/weshyper_dev/front_end/weshyper_cloud_vue/dqbasic_cloud_vue3/-/jobs/8423）

3、初次配置完成流水线是代码仓库全量扫描，会展示所有的异味及漏洞等问题，不需要处理或者误报的问题可以去sonar上手动修改状态，然后再次Merge

4、任务一直等待中，pending状态（没有合适的可执行Runners，检查Runners配置是否正确，状态是active，绿色表示正常）

5、提交Merge Requests后，任务一直是Checking pipeline status.状态（源分支和目前分支代码有冲突）
参考：http://192.168.10.21:8000/tchq/weshyper/weshyper-data/govern_cloud/-/merge_requests/440

SonarQube（sonar-scanner）+GitLab（gitlab-runner）实现提交代码自动扫描项目代码
万物皆可学
06-24 2330
依次输入：地址（http://git.hkeasyspeed.com/）、token（DGmZzRF7dk1p1JPwcu8A ）、描述（report）、标签（report）、执行方式（docker）、镜像（sonarsource/sonar-scanner-cli:latest）1.新增项目的时候，我们可以直接忽略第一步直接点击继续，我们跑的是docker不是maven扫描不用修改pom.xml文件。点击左侧的CI/CD - 编辑器 ，默认是没有gitlab-ci的yml文件，我们点击新建。
配置GitLab账号登录SonarQube
万物皆可学
06-14 1471
sonarqube平台退出admin账户，可以看见可以通过gitlab登录，点击gitlab登录会跳转到gitlab需要手动点击验证是否确定登录。回跳转回sonarqube，出了gitlab其他都是灰色，点击”来自gitlab“URI是sonarqube地址/oauth2/callback/gitlab。回到gitlab添加应用，名称随意最好有意义一眼知道是干嘛的。来到sonarqube界面，创建gitlab配置。gitlab地址，填写域名和ip地址都行。gitlab的项目可直接设置项目。
Jenkins集成Sonar与Gitlab代码质量检测
Su_Levi_Wei的博客
06-23 1272
Jenkins集成Sonar与Gitlab代码质量检测
Arbess零基础学习 - 使用Arbess+GitLab+SonarQube Java项目代码扫描，通过后自动构建并主机部署
最新发布
westforest0910的博客
11-03 1008
Arbess 是一款国产开源免费的 CI/CD 工具，相比Jenkins，更轻量、简洁易用。本文将详细介绍如何安装配置使用GitLab+SonarQube+Arbess系统，使用流水线拉取GitLab源码、使用SonarQube进行代码扫描，代码扫描通过后，构建并进行主机部署。
gitlab +SonarQube +git hooks 代码审查一站式配置
Qian_Chi的博客
07-12 3784
gitlab CI + sonarqube + git hooks 配置
SonarQube的安装和配置以及与Jenkins和gitlab的集成
08-31
SonarQube的安装和配置以及与Jenkins和gitlab的集成
Gitlab和SonarQube的安装、集成、使用（Docker、GitFlow、IDEA）
Fishermen_sail的博客
11-07 4627
在两个星期里，完成了以下工作，Gitlab部署，SonarQube部署，Gitlab与SonarQube集成，SonarQube与IDEA集成，并协助禅道小组与Jenkins小组完成整合。熟练使用了Git命令语句，Gitlab的使用，并实现GitFlow理念的操作流程，Git Review的思想，并且借助SourceTree可视化工具的使用，使得代码管理更加方便，代码质量管理工具SonarQube的使用，并与IDEA整合，便于开发者使用，我们也利用wiki以及博客的方式总结我们所学，构件知识库，积累经验。
精选资源
【DevOps自动化】基于GitLab+GitLab Runner+SonarQube+Sonar Scanner的SpringCloud项目代码扫描与质量检测系统构建
05-06
内容概要：本文详细介绍了如何利用Docker容器部署GitLab、GitLab Runner、SonarQube和Sonar Scanner，实现SpringCloud项目代码提交后的自动化代码扫描流程。具体步骤包括：在服务器A上运行GitLab容器，配置相关端口...
基于gitlab+docker实现CICD
qq_33816243的博客
07-09 1745
利用Docker、Gitlab、Gitlab Runner、SonarQube、Harbor、Jmeter、Maven、Java技术，搭建一个完整的 CI/CD 管道，实现当开发人员完成代码提交后，开始流水线工作，完成编译打包、单元测试、源码扫描、上传制品、部署服务到Docker容器、自动化测试工作。通过自动化构建、测试、代码质量检查和容器化部署，将开发人员从繁琐的手动操作中解放出来，提高团队的开发效率、软件质量和安全性，实现持续更新迭代和持续部署交付。
基于Gitlab+docker实现CI/CD
虫虫的博客
07-31 1354
利用Docker、Gitlab、Gitlab Runner、SonarQube、Harbor、Jmeter、Maven、Java技术，搭建一个完整的 CI/CD 管道，实现当开发人员完成代码提交后，开始流水线工作，完成编译打包、单元测试、源码扫描、上传制品、部署服务到Docker容器、自动化测试工作。通过自动化构建、测试、代码质量检查和容器化部署，将开发人员从繁琐的手动操作中解放出来，提高团队的开发效率、软件质量和安全性，实现持续更新迭代和持续部署交付。
持续集成环境的搭建：Gitlab+Jenkins+sonar+Nexus
m0_37208669的博客
11-30 3289
文章目录主要内容gitlab什么是gitlab使用docker进行安装基本使用项目组与项目的创建邮件服务的配置nexus什么是nexus使用docker进行安装基本使用小结sonar什么是sonarqube使用docker进行安装Jenkins安装插件安装配置JDKMaven邮件配置sonargitlab仪表盘简介Jenkins基本使用手动集成hook触发自动构建流水线Pipeline分布式构建 ...
GitLab+Jenkins+SonarQube 敏捷开发持续集成环境
07-27
敬上《敏捷宣言》 、个体和互动高于流程和工具 、工作的软件高于详尽的文档 、客户合作高于合同谈判 、响应变化高于遵循计划 这篇文章是前期工作中用到的技术的总结 绝对的精华 传统的开发模式在西方已经销声匿迹 然而在我们的“环境”中还是一直存在着 but 高瞻远瞩的人已经行动起来 敏捷宣言的出现 拯救了一大批你我一样的程序“猿”
gitlab+jenkins+sonar架构
10-07
gitlab+jenkins+sonar搭建， 以及做综合代码质量分析手册
基于Gitlab+k8s(container)实现CI/CD
虫虫的博客
07-31 1680
利用Container、Gitlab、Gitlab Runner(k8s)、SonarQube、Harbor、Jmeter、Maven、Java技术，搭建一个完整的 CI/CD 管道，实现当开发人员完成代码提交后，开始流水线工作，完成编译打包、单元测试、源码扫描、上传制品、部署服务到Docker容器、自动化测试工作。通过自动化构建、测试、代码质量检查和容器化部署，将开发人员从繁琐的手动操作中解放出来，提高团队的开发效率、软件质量和安全性，实现持续更新迭代和持续部署交付。
自动化代码质量检测平台sonarqube搭建及使用，以及集成gitlab ci提交自动返回结果
03-14 1万+
Sonar (SonarQube)是一个开源平台，用于管理源代码的质量。Sonar 不只是一个质量数据报告工具，更是代码质量管理平台。支持java, JavaScrip, Scala 等等二十几种编程语言的代码质量管理与检测。SonarQube®是一种自动代码审查工具，用于检测代码中的错误，漏洞和代码异味。它可以与您现有的工作流程集成，以便在项目分支和拉取请求之间进行连续的代码检查。原理架构，这里不多说了，网上一大把，咱们直接开干就完了。
GitLab + Jenkins + Sonar Qube 持续集成
qq_33808440的博客
04-13 2940
一. 持续集成 让产品快速迭代，同时还能保证高质量，简化工作流程 二. 持续交付 让通过持续集成后的代码可以部署 三. 持续部署 四. 持续集成的实施流程
Sonarqube与Gitlab集成
fishinhouse的专栏
08-01 8090
Sonarqube与Gitlab集成
基于 GitLab+SonarQube 搭建自动化代码检测平台
热门推荐
magicpenta的博客
06-21 1万+
一、背景介绍 目前，成熟的代码检测工具有很多，如 SpotBugs（前身为 FindBugs）、PMD、Checkstyle 等，我们可以在本地开发环境，非常便捷地利用这些工具实现代码的扫描与检测。这看上去好像很不错，但实际上，采用这种代码检测方式，我们面临着两个问题： 代码提交前需要手动运行检测工具 检测结果仅对自己可见 那么，有没有什么方案可以规避这些问题呢？答案当然是有的。 我们可以基于 GitLab 和 SonarQube 搭建自动化代码检测平台，并通过该平台实现以下功能： 每次提交
GitLab与SonarQube集成CICD所需安装包
PostgreSQL 或 MySQL 配置）、反向代理设置（Nginx 配置）、SSL 证书模板、Docker Compose 编排文件（用于容器化部署）、示例项目的 `.gitlab-ci.yml` 和 `sonar-project.properties` 配置文件等。这些资源共同构成...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值