SonarQube Licensecheck 插件指南

SonarQube Licensecheck 插件指南

sonarqube-licensecheck SonarQube Licensecheck Plugin 项目地址: https://gitcode.com/gh_mirrors/so/sonarqube-licensecheck

---

项目介绍

SonarQube Licensecheck 是一个专为 SonarQube 设计的插件，确保软件项目使用的依赖库都遵循合规的许可证政策。通过这个插件，你可以详细查看每个项目的依赖及其许可证，并将其导出至Excel 2003 XML格式，便于整个组织管理依赖项和许可证。该插件支持Maven的POM文件、JK1插件驱动的Gradle项目以及NPM包的检查，包括递归依赖（可配置）。

项目快速启动

安装步骤

1. 下载插件: 首先，从项目 releases 页面下载最新版本的jar文件。
2. 部署到SonarQube: 将下载的jar文件复制到你的SonarQube服务器的$SONARQUBE_HOME/extensions/plugins目录下，并重启SonarQube服务。
3. 激活规则: 进入SonarQube的管理界面，你需要在质量剖面中激活“License is not allowed”及“Dependency has unknown license”这两条规则，以便让插件生效。

分析项目示例

对于一个Maven项目，分析流程可以是这样的：

mvn -B org.jacoco:jacoco-maven-plugin:prepare-agent install org.jacoco:jacoco-maven-plugin:report
mvn -B sonar:sonar

确保在执行SonarQube分析之前，已完成所有必要的依赖安装。

应用案例和最佳实践

最佳实践一：自动化合规性检查

• 在CI/CD流水线中集成SonarQube Licensecheck，确保每次构建前都能自动进行许可证合规性检查。
• 设置合理的质量阈值，对含有非允许许可证的项目触发警告或失败构建。

案例分析：多语言项目治理

• 对于混合Java与JavaScript的项目，需分别配置SonarQube以识别这两种语言的依赖，并在质量剖面中启用相关规则。
• 使用插件提供的项目特定许可证配置，根据不同子项目的需要定制允许的许可证列表。

典型生态项目集成

虽然直接与其他SonarQube的插件或外部工具集成的详细说明未在项目页面明确列出，但可以通过SonarQube的API来实现与其他系统的数据交互，例如将许可证合规状态反馈给项目管理系统。

例如，如果想通过API配置插件：

• 启用插件:

  curl -X POST -u admin:admin "http://localhost:9000/api/settings/set?key=licensecheck.activation&value=true"
  

• 获取或更新许可映射:

  curl -X GET -u admin:admin "http://localhost:9000/api/settings/values?key=licensecheck.license-mapping"
  

  或者通过POST请求更新映射。

结合SonarQube的生态系统，开发者可利用其丰富的插件库和开放的API接口，进一步扩展其在许可证管理上的功能，如与Jira、GitLab等工具联动，确保开发流程中的许可证合规性得到持续监控和报告。

sonarqube-licensecheck SonarQube Licensecheck Plugin 项目地址: https://gitcode.com/gh_mirrors/so/sonarqube-licensecheck