代码扫描

本文主要介绍如何使用 Zadig 的代码扫描。目前支持以下功能：

新建代码扫描

访问项目 -> 代码扫描，点击新建代码扫描后填写配置。

名称：代码扫描名称，同一项目下不允许重复
扫描工具：可指定 SonarQube 或其他
扫描环境：执行扫码任务时的具体运行环境
- 若使用 SonarQube 工具进行代码扫描，系统已内置了支持该工具的环境 sonar，选择 sonar 即可
- 若使用其他工具进行代码扫描，可参考自定义镜像按需添加
依赖的软件包：使用 SonarQube 工具做代码扫描时可配置该项，用于指定扫描过程中需要用到的各类软件包工具，比如不同版本的 Java、Go、Node 等
- 选择软件包的过程中需要注意多个软件包之间的依赖关系，按照顺序进行安装。例如：Govendor 依赖 Go，那么请先选 Go，再选择 Govendor
- 平台已内置一些常见的软件包，如果有其他软件包或者版本需求，系统管理员可以在软件包管理中配置其安装脚本
Sonar 地址：使用 SonarQube 工具做代码扫描时需配置该项
- 需要事先在系统中集成 Sonar，参考文档：Sonar 集成
- 当代码扫描执行完成后，Zadig 会将结果上传到此处指定的系统中

需事先在 Zadig 中集成代码源，参考文档：代码源集成。

参数说明：

变量	说明	使用范围
`WORKSPACE`	代码扫描工作目录	前置脚本或扫描脚本
`BRANCH`	第一个代码库的分支信息	当扫描工具是 `SonarQube` 时可使用，可用于参数配置中

支持前置脚本的运行，在使用 SonarQube 工具进行扫描前，可以按需运行脚本，如 Java 编译。

使用 SonarQube 工具进行代码扫描时配置的相关参数，其中 sonar.host.url 和 sonar.login 无需配置，在执行代码扫描时系统会自动注入。更多参数配置可参考 SonarQube 文档 (opens new window)。

若扫描环境为 sonar，则参数配置中可使用 $BRANCH 变量获取当前被扫描代码库的分支信息。

说明：

目前 GitHub/GitLab 代码源支持自动触发代码扫描功能

参数说明：

代码库：即代码信息配置中的代码库
目标分支：监听代码变更事件的分支
触发事件: 指定触发代码扫描运行的 Webhook 事件，可选事件如下：
- Push commits 事件（Merge 操作）时触发
- Pull requests 提交 pull request 时触发
- Push tags 新建 tag 后触发
自动取消：若勾选，则当多个 Webhook 事件先后触发代码扫描任务时，系统会自动取消队列中的任务
文件目录: 当指定文件或目录发生变化（新增/修改/删除）时，触发代码扫描，使用以下代码仓库文件结构示例说明：

├── reponame  # 仓库名称
  ├── Dockerfile 
  ├── Makefile
  ├── README.md   
  ├── src        
    ├── service1/
    ├── service2/
    └── service3/

触发场景	文件目录配置
所有文件更新	`/`
除 *.md 以外的其他文件更新	`/` `!.md`
除 service1 目录下的其他文件更新	`/` `!src/service1/`
service1 目录下所有文件更新	`src/service1/`
src 目录下（除 service1 目录下的文件）的文件更新	`src` `!src/service1/`

选择具体的代码扫描 -> 点击执行，可对指定分支或 Tag 中的代码进行扫描。

当代码扫描任务运行完毕，可点击链接快速跳转至 SonarQube 系统中查看结果。

使用 SonarQube 工具做代码扫描时支持该功能。