CodeQL에서 SARIF를 내보내고 SonarQube로 가져오는 방법

$편집자가\; 공들여\; 커뮤니티와\; 문서를\; 뒤져\; 결과를\; 정리했습니다.\; 도움이\; 되었다면"유용하다"\; 댓글을\; 남겨주세요.\; 기분이\; 좋으면\; 마음에\; 들어요.+귀를\; 기울이소서\; 주의\; 크신\; 은혜를\; 평생\; 잊지\; 않겠나이다!$

SonarQube는 수시로 업데이트되며, 이 글은 현재 상태만을 나타냅니다.

지침

• SonarQube는 웹측에서 SARIF 가져오기 경로를 구성할 수 없으며 구성 파일에서 구성할 수 있는지 여부는 테스트되지 않았으며 스캐너 sonar-scanner 실행 시 스캐너 매개 변수에 구성했습니다.

• SonarQube는 SARIF 파일 버전이 v2.1.0이어야 하므로 안전을 위해 CodeQL은 SARIF 파일을 내보낼 때 특정 버전을 설정해야 하며 최신 버전을 사용하지 않아야 합니다.

• SonarQube 스캐너 매개변수에서 SARIF 가져오기 경로를 구성할 때 현재 프로젝트가 루트로 사용되지 않습니다. (이것은 외부 문제 가져오기와 다릅니다)
  즉, 내 프로젝트 루트 디렉터리가 다음과 같은 경우: ~/project
  SARIF 파일 경로: 절대 경로 또는 상대 경로를 ~/project/result.sarif
  구성할 수 있지만 (스캐너가 프로젝트 루트 디렉터리에서 실행된다고 가정) result.sarif는 구성할 수 없습니다 . 기호 해결 여부를 테스트하지 않음 ( )/Users/likewendy/project/result.sarif
./result.sarif

~~/project/result.sarif

예

CodeQL 내보내기 SARIF:

codeql database analyze $HOME/test /Users/likewendy/.codeql/packages/codeql/go-queries/0.4.3/codeql-suites/* --format=sarifv2.1.0 --output=$HOME/test.sarif

스캐너 실행:

sonar-scanner \
      -Dsonar.projectKey=test \
      -Dsonar.sources=. \
      -Dsonar.host.url=http://127.0.0.1:9000 \
      -Dsonar.login=053188881234 \
      -Dsonar.sarifReportPaths=./result.sarif