SonarQube Cloud でコードをスキャンして、25以上のプログラミング言語におけるバグ、脆弱性、コードスメルを検出します。
お使いの SonarCloud アカウントは、最初に Bitbucket チームまたはユーザーアカウントに関連付ける必要があります。SonarQube Cloud はオープンソースプロジェクトでは完全に無料です。コードがクローズドソースの場合、SonarQube Cloud にはプライベート解析を実行するための有料プランもあります。
注: Maven または Gradle を使用するプロジェクトの場合は、この Pipe を使用せずに、それぞれのスキャナを直接実行してください (例 を参照)。
bitbucket-pipelines.yml ファイルの script セクションに次のスニペットを追加してください:
- pipe: sonarsource/sonarcloud-scan:4.1.0
# variables:
# SONAR_TOKEN: '<string>' # Optional
# EXTRA_ARGS: '<array of strings>' # Optional
# SONAR_SCANNER_JAVA_OPTS: '<string>' # Optional
# DEBUG: '<boolean>' # Optional
| 変数 | 用途 |
|---|---|
| SONAR_TOKEN (*) | SonarQube Cloud のトークンです。セキュリティで保護されたリポジトリ変数またはアカウント変数を使用することをお勧めします。その場合、bitbucket-pipelines.yml ファイルでこの変数を指定する必要はありません。 |
| EXTRA_ARGS | 追加の解析パラメータ（ドキュメント を参照） |
| SONAR_SCANNER_JAVA_OPTS | スキャナの JVM オプション（例: "-Xmx256m"） |
| DEBUG | 追加のデバッグ情報を有効にします。デフォルト: false。 |
(*) = 必須変数。
この Pipe は、バグ、脆弱性、コードスメルを検出するための SonarQube Cloud コード解析の実行をカプセル化したものです。SonarQube Cloud は Pull Request を装飾し、コード品質に関する情報を報告できます。入門ガイドはこちら: Bitbucket Cloud で始める。
この Pipe を使用するには、SonarQube Cloud 上でプロジェクトをセットアップし、生成されたトークンを、リポジトリまたはチーム/個人の Bitbucket アカウントで SONAR_TOKEN という名前のセキュア変数として使用する必要があります。
基本例:
- pipe: sonarsource/sonarcloud-scan:4.1.0
もう少し高度な例:
- pipe: sonarsource/sonarcloud-scan:4.1.0
variables:
EXTRA_ARGS: ['-Dsonar.projectDescription="Project with sonarcloud-scan pipe"', '-Dsonar.eslint.reportPaths=report.json']
SONAR_SCANNER_JAVA_OPTS: "-Xmx512m"
DEBUG: "true"
この例では、SonarQube Cloud 上のプロジェクトにカスタムの説明文を使用し、eslint が生成したレポートを読み込み、最大メモリを 512MB に設定し、詳細な出力を有効にします。
この Pipe についてサポートが必要な場合、問題や機能リクエストがある場合は、コミュニティフォーラムでお知らせください。
問題を報告する際は、以下を含めてください: