toindev/sonarcloud-github-action

SonarCloud代码扫描GitHub Action镜像

镜像概述

本镜像为SonarCloud官方GitHub Action的构建版本，用于在GitHub仓库中自动执行代码质量与安全扫描。SonarCloud是领先的在线持续代码质量平台，开源项目可免费使用，支持多种主流编程语言，帮助开发者及时发现代码中的潜在问题。

核心功能

• 支持Java、JavaScript、TypeScript、C#等20+编程语言的代码分析；
• 检测代码中的bug、安全漏洞和代码异味；
• 生成详细质量报告并集成到GitHub PR检查流程；
• 开源项目免费，闭源项目提供付费私有分析服务。

使用场景

• GitHub仓库CI流程：在push到主分支或PR更新时自动触发扫描；
• 开源/闭源项目：持续监控代码质量，提升交付可靠性。

配置说明

前提条件

1. 注册SonarCloud账号（通过GitHub免费注册）；
2. 目标仓库已在SonarCloud完成项目配置。

项目配置文件

在仓库根目录创建sonar-project.properties：

properties
sonar.organization=<替换为你的SonarCloud组织密钥>
sonar.projectKey=<替换为SonarCloud项目密钥>
sonar.sources=.  # 源代码相对路径

GitHub Workflow示例

在.github/workflows/build.yml添加工作流：

yaml
on:
  push:
    branches: [master]
  pull_request:
    types: [opened, synchronize, reopened]
name: Main Workflow
jobs:
  sonarcloud:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v2
      with:
        fetch-depth: 0  # 禁用浅克隆以保证报告准确性
    - name: SonarCloud Scan
      uses: sonarsource/sonarcloud-github-action@master
      env:
        GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}

可选参数

• 指定分析目录：

  yaml
  uses: sonarsource/sonarcloud-github-action@master
  with:
    projectBaseDir: my-custom-dir
  

• 添加额外参数：

  yaml
  uses: sonarsource/sonarcloud-github-action@master
  with:
    args: >
      -Dsonar.python.coverage.reportPaths=coverage.xml
      -Dsonar.test.exclusions=tests/**
  

密钥配置

• SONAR_TOKEN：必填，在SonarCloud账号安全页面生成，存入GitHub仓库Secrets；
• GITHUB_TOKEN：GitHub自动提供，无需手动配置。

注意事项

• Maven/Gradle项目建议直接使用对应插件；
• .NET项目推荐使用SonarCloud Azure DevOps扩展；
• C/C++项目建议结合Travis-CI扩展使用。

许可证

本项目Dockerfile及相关资源基于LGPLv3许可证发布。