mjarends/concourse-sonarqube-resource

Concourse CI 的 SonarQube 资源

该镜像为Concourse CI提供SonarQube资源，用于执行代码质量分析并跟踪SonarQube质量门状态，支持SonarCloud和自托管的SonarQube实例。若需在构建流水线中实现质量门控制，可结合https://github.com/cathive/concourse-sonarqube-qualitygate-task%E4%BD%BF%E7%94%A8%EF%BC%8C%E5%BD%93%E4%BB%A3%E7%A0%81%E6%9C%AA%E8%BE%BE%E5%88%B0%E8%B4%A8%E9%87%8F%E7%9B%AE%E6%A0%87%E6%97%B6%E4%B8%AD%E6%96%AD%E6%9E%84%E5%BB%BA%E3%80%82

前提条件

• 运行中的SonarQube实例（测试过v6.5-v7.1，兼容≥v5.3版本）
• SonarQube服务器的base URL配置正确（conf/sonar.properties中的sonar.core.serverBaseURL）

安装

在Concourse CI流水线中添加资源类型：

yaml
resource_types:
- name: sonar-runner
  type: docker-image
  source:
    repository: cathive/concourse-sonarqube-resource
    tag: latest # 为保证构建可复现，建议使用特定版本标签而非"latest"

资源配置（Source Configuration）

• host_url: 必填。SonarQube实例地址，如SonarCloud使用"[***]"（需以斜杠结尾）。
• organization: SonarCloud分析代码时必填的组织名称。
• login: 具有执行分析权限的SonarQube用户登录名或认证令牌，无需认证时可留空。
• password: 与login对应的密码，使用认证令牌时留空。
• maven_settings: Maven分析时使用的配置，仅在scanner_type为Maven时生效。
• __debug: 开启调试模式（输出额外日志，生产环境不建议开启，避免泄露敏感信息）。

核心功能

该资源实现check、in、out三个动作：

• out: 触发SonarQube分析
• check/in: 等待分析结果并获取项目状态，供任务判断是否中断构建

out: 触发SonarQube分析

参数

• project_path: 必填。待分析资源的路径，若包含sonar-project.properties将自动读取。
• scanner_type: 扫描器类型（auto默认：存在pom.xml则用Maven，否则用CLI；cli强制CLI；maven强制Maven）。
• project_key: 项目键（默认从sonar-project.properties读取）。
• project_key_file: 读取项目键的文件路径（优先级高于project_key）。
• project_name: 项目名称（默认从配置文件读取）。
• project_description: 项目描述（默认从配置文件读取）。
• project_version: 项目版本（默认从配置文件读取）。
• project_version_file: 读取项目版本的文件路径（优先级高于project_version）。
• autodetect_branch_name: 自动检测分支（仅支持Git）。
• branch_name: 分支名称（覆盖自动检测）。
• branch_target: 目标合并分支（默认master）。
• decorate_pr: 开启PR装饰（需SonarCloud或Developer版支持）。
• sources: 源代码目录列表。
• tests: 测试代码目录列表。
• additional_properties: 额外分析参数（如覆盖率报告路径）。
• additional_properties_file: 额外参数文件路径。
• maven_settings_file: Maven配置文件路径（覆盖资源级maven_settings）。
• sonar_maven_plugin_version: Maven插件版本（默认使用最新）。

通配符支持

以下字段支持通配符转逗号分隔路径：

• sources
• tests
• additional_properties中后缀为.reportPaths的键

in: 获取分析结果

该动作会生成两个JSON文件：

• qualitygate_project_status.json: 质量门状态（格式参考API文档）
• ce_task_info.json: 分析任务信息（格式参考API文档）

参数

• quality_gate: 可选，控制get步骤的成功/失败：
  • ignore_all_warn: 忽略所有WARN级指标
  • ignore_all_error: 忽略所有ERROR级指标
  • ignore_warns: 忽略指定WARN级指标的键列表
  • ignore_errors: 忽略指定ERROR级指标的键列表

使用场景

• 集成到CI/CD流水线，自动执行代码质量分析
• 基于SonarQube质量门结果控制构建流程（如未达标则中断）
• 跟踪分支/PR的代码质量变化

完整示例

以下流水线示例展示如何使用该资源实现质量门控制：

yaml
resource_types:
- name: sonar-runner
  type: docker-image
  source:
    repository: cathive/concourse-sonarqube-resource
    tag: latest

resources:
- name: sources
  type: git
  source:
    uri: https://github.com/example/example.git

- name: artifact
  type: s3
  # ... 配置省略

- name: code-analysis
  type: sonar-runner
  source:
    host_url: [***]
    login: ((sonarqube-auth-token))

jobs:
- name: build-and-analyze
  plan:
  - get: sources
    trigger: true
  - task: build
    config:
      platform: linux
      image_resource:
        type: docker-image
        source:
          repository: debian
          tag: 'jessie'
      inputs:
      - name: sources
      outputs:
      - name: sonarqube-analysis-input
      run:
        path: build.sh
        dir: sources
  - in_parallel:
    - put: code-analysis
      params:
        project_path: sonarqube-analysis-input
        project_key: com.example.my_project
        sources: ["."]
        tests: ["."]
        additional_properties:
          sonar.javascript.lcov.reportPaths: coverage/lcov.info
      get_params:
        quality_gate:
          ignore_errors: ['new_coverage', 'violations']
          ignore_warns: ['new_duplicated_lines_density', 'violations']
    - put: artifact

- name: qualitygate
  plan:
  - in_parallel:
    - get: artifact
      passed: [build-and-analyze]
    - get: code-analysis
      passed: [build-and-analyze]
      trigger: true
  - task: check-sonarqube-quality-gate
    config:
      platform: linux
      image_resource:
        type: docker-image
        source:
          repository: cathive/concourse-sonarqube-qualitygate-task
          tag: latest
      inputs:
      - name: code-analysis
      run:
        path: /sonarqube-qualitygate-check
        dir: code-analysis

- name: deploy
  plan:
  - get: artifact
    passed: [qualitygate]