吉林sonarqube静态安全扫描工具欢迎来电「在线咨询」

sonarsource 的产品和服务被各地的客户所使用。所有规模的组织都在使用来自 sonarsource 的产品和服务提高生产率, 降低风险, 终开发-的软件。silverpeas 已经能够实现新的功能和提高产品性能, 这已导致赢得越来越多的客户。silverpeas 是协作知识和内容管理的平台。正如未经检验的生活不值得生活一样,未经检验的代码不值得部署。写在爪哇, silverpeas 出生于 1999年, 在-时代的 j2ee。这是一个时代之前的框架, 当英雄编码没有测试或文件。结果是一个工作产品的支持下的混乱的定制框架, 是基于-的想法, 但执行不-。随着时间的推移, 由于在产品的早期就做出了短视的设计决策, 而且由于对其全球体系结构没有明确的愿景, 因此发展和维护代码变得越来越困难。技术- = 责任

这种情况使我们很难跟上-的步伐, 保持市场的竞争力。使问题复杂化的是, 执行基本维护和实施新功能的高昂成本使得很难获得新客户。技术-代表了一个太大的负债。够了在 2009年, silverpeas 团队作出了一个激烈的决定: 现在是时候, 以现代化的架构和提高 silverpeas 的代码。但他们需要确切地知道如何, 什么, 以及在哪里重构之前, 他们可以继续。好处可以包括更多的产品发布稳定并增强对开发团队和合作伙伴服务组织的-和-(对于那些外包开发)。我们需要一个工具来支持我们的改变, silverpeas 软件-米格尔 moquillon 说。sonarqube (当时的声纳) 被选中来帮助我们获得正确的-, 这些问题。通过它的分析工具和它的统一和可定制的界面, 我们有信息, 以确定我们必须执行的任务, 以减少技术-和提高代码的。这是我们的 gps 在- silverpeas 的道路上。sonarqube 保持技术-控制

silverpeas 团队在 silverpeas 的现代化过程中选择了 sonarqube 这一关键角色, 部分原因是它是开源的, 就像 silverpeas 一样, 易于扩展, 但 sonarqube 也提供了一些功能 moquillon 说, 团队发现引人注目的:统一和集中的仪表板一个统一和集中的仪表板, 其中呈现代码的主要指标: 一目了然是什么出错了, 什么是改进了, 很容易看到。这似乎是一个-的方法,有两个原因:它减少了在-的基本代码上开始的摩擦力,因为你可以假装你是从一个干净的石板开始。简单的导航--一种简单的方法来导航到相关代码的不同指标: 很容易找到需要操作的代码部分.-的报告-在时间的指标演变的迹象: 我们可以估计我们的代码改进的努力。-的软件已导致越来越多的客户赢得

sonarsource 的解决方案有助于 silverpeas 的成功, 通过对关键问题提供持续和快速的反馈以及如何解决它们的建议。工作从坚实基地它的代码改进给它, silverpeas 团队已经能够实现新的功能, 并提高产品的鲁棒性和性能, 这已导致赢得越来越多的客户。今天, silverpeas 团队致力于将其软件保持在 sonarqube 的轨道上。moqillon 说, silverpeas 团队对 sonarqube 有信心, 因为 这是一个开源项目, 如 silverpeas, 因此, 我们是-其演变和。然而,-的发展途径即使需要提高代码并在周期早期消除缺陷也会发生急剧增加。他赞扬 sonarqube 的定期发布时间表、易用性、易于安装以及与现有开发基础结构 (如连续集成服务器詹金斯) 和构建系统 maven 等集成的易用性。现在, sonarqube 分析运行每晚 silverpeas 的35.1万行代码, 由詹金斯触发的后期生成行动。开发人员和经理定期检查结果, 并采取行动解决问题的集体努力, 以维护和进一步提高 silverpeas 的软件。

sonarsource不断的检查, 新的软件范例, 解决和解决的关键挑战

在代码管理中:

太少, 太迟

推回

开发团队

缺乏过程

所有权

异构

要求

团队收到关于的持续反馈, 包括对一组

要求

一个清晰的, 更新的演变的图片随时可用, 包括

版本间的比较

团队可以从介绍中-问题, 并提供反馈

一旦出现缺陷, 就会通知风险承担者

门每天执行

-的门迭代成为一个事件

开发商的持续教育导致良性循环的-

行动计划直接在团队内部生成, 并集成在

开发过程

软件是开发过程的一部分

-包括背景和历史信息, 包括不同

版本和对软件所做的各种更改

利益干系人可以访问有关其软件的有意义的信息

实时

开发团队一旦收到缺陷的信息

添加 (通过电子邮件, 在 ide 中可见,...) 使问题立即得到解决

团队获得开发-软件的能力

代码的归属属于开发团队

软件被嵌入到开发过程中, 成为

每个人的责任

整个组织都可以访问软件工具, 以

每个利益相关者

要求可以在团队中的共享、更新和评审

成员和整个组织

判断是以自动化的方式在客观的基础上做出的

事先发布到组织的标准。

报告清楚地显示了软件的可维护性, 并立即

不需要外部顾问就可以理解

开发人员的持续教育导致-的软件

从长远来看-

团队有能力测量新的和更改的软件

代码以及整个代码库

团队可以-新问题的注入

sonarsource 城市之旅2016丹切2016年5月26日在10:14pm今天我参加了伦敦 sonarsource 城市之旅。sonarsource 制作两个 连续代码 工具: sonarqube;和 sonarlint。

雷迪森 sas 波特曼酒店举办的-活动约50与会者。我们听到了一些适当的技术介绍, 从奥利维尔 gaudin, 弗雷迪槌, 和 sonarsource 的尼古拉斯秘鲁和邓肯波克林顿从微软。

技术债wu这-开了一个问题。谁负责代码？-还是 qa？

-是不加掩饰的: 开发商。

在某些情况下, 引入技术债wu是可以的, 但团队需要了解他们所创建的问题的权衡和存在的程度。hao的方法是通过客观和一致的测量。

修复泄漏知道你有问题是一回事。修理它是另一回事。

这-的首要主题是 修复泄漏: 当你有一个漏水的管道, 你应该先修复它还是先把它擦干净？如果你不首先解决问题的根源, 那么清理就不是很有用。

(这对我来说-的伤感, 因为我在家里的水管漏水, 所以我迟到了。

在实践中, 这意味着设置一个的酒吧 (或 门 的 sonarsource 行话) 新的变化, 但大多忽略现有的问题, 直到你得到控制的事情。

这似乎是一个-的方法, 有两个原因:

它减少了在-的基本代码上开始的摩擦力, 因为你可以假装你是从一个干净的石板开始;这是沙子上的一条线, 它为球队的前进设定了期望。奥利维尔不厌其烦地强调, 有一个自动化的工具, 实施这种行为不会减轻你的教育团队的jia做法。一般的意见是,这些应该处理外部sonarqube本身,并集成使用的全功能的restapi暴露的sonarqube。每一个指标都可以博弈, 所以你需要让人们在船上的概念, 真正充分利用它。

sonarqubesonarqube 度量您的代码库的可维护性、-性和安全性, 并-随着时间的推移而改进。它还-了代码中特定的代码气味, 应该是固定的。

sonarqube 是由超过75k 的公司使用的, 其中一些有数以千计的开发人员和数百万行代码。它成为事实上的代码工具, 因为它的介绍8年前, 超过其 java 根现在支持超过20种语言。

弗雷迪给了我们一个简要的特点, 从近的版本, 包括 v5.6 (将在几个星期内发布)。

值得注意的是, 现代化的体系结构不再需要分析器和数据库之间的直接连接。这一切都通过了一个网络服务, 这是更明智的。

评级也正在完善。现有的 sqale 度量对衡量项目的可维护性很有好处, 但它没有考虑到问题的-性。它也没有真正与泄漏概念的网格。

在 sonarqube 5.6 中, sqale 将重新命名为可维护性, 并且将为性、安全性和-性提供新的评级。将所有这些信息一起放在所有项目-是一个新的治理仪表板 (一个商业插件)。

路线在工作中, 我们使用 gitflow。我们不想合并一个功能分支, 如果它会降低项目的, 因此我们-希望了解分支支持在 sonarqube -如何改进。

已经有拉请求集成与 github 和藏匿, 让你知道什么时候合并会引入债wu。

但是, 目前在 sonarqube 内部, 单独的分支被视为单独的项目。配置是重复的, 而且更糟糕的是, 每个功能分支都包含了主分支中的所有问题和债wu。

这是幸运的 sonarsource 的一个高优先级, 虽然它不会被-时, 它将船舶。目标是将项目的所有分支作为对主分支的比较。

群集是路线图的一个令人惊讶的补充, 因为这看起来不像是一种需要支持大量负载的产品。然而, 一些真正-的设施确实存在于野外, 它可以利用多个 web 服务器与同一数据库进行对话。

当弗雷迪- sonarqube 为服务时, 群集的隐藏议程变得清晰明了。这将是一个免费的开放源码项目服务, 可以分析任何地方托管的项目 (虽然它需要一个 github 帐户进行身份验证)。在某些情况下,引入技术债wu是可以的,但团队需要了解他们所创建的问题的权衡和存在的程度。它将支持所有的内置 sonarsource 插件, 但没有第三方的。这对开源社区来说是一个-!

-, 我有机会问墙和集成系统, 如 jira。一般的意见是, 这些应该处理外部 sonarqube 本身, 并集成使用的全功能的 rest api 暴露的 sonarqube。

sonarlintsonarlint 是您的 ide (eclipse、intellij 或 visual studio) 的插件, 它在您键入时标记代码问题。这个想法是为了防止泄漏之前, 他们共享与其他的研发