22.09.09 [시큐어코딩] sonarqube

소스코드에 sql injection 코드를 방지하거나 데이터 암호화 등의 보안성을 검토할 필요가 있다. 

다양한 프로그래밍 언어를 지원하는 소나큐브를 프로젝트에 적용해봤다. 

 

소나큐브를 맥 PC 에 설치하고 

프로젝트를 분석할 스캐너에 대한 토큰을 발급받는 과정까지 진행하였다. 

 

먼저 터미널을 열고 homebrew 가 없다면 설치부터 해준다. 

homebrew 로 sonarqube 를 설치한다. 

brew install sonarqube

 

 

소나큐브 프로그램을 로컬로 띄운다. 

brew services start sonarqube

 

설치 완료되면 http://localhost:9000 에 들어가서 분석할 프로젝트를 생성한다.

프로젝트는 깃 레포지토리 단위로 구분된다!!

 

 

그리고 해당 프로젝트의 CI (배포 자동화)에 소나큐브를 연결해준다. 

소스코드 자체에서 분석하기 위해서는 locally 를 선택한다. 

 

프로젝트를 검토할 소나큐브에 대한 토큰을 발급해준다. 

그리고 분석할 프로젝트가 어떤 언어로 작성된 파일인지 선택한다. 

그리고 아래 명령어를 분석할 프로젝트의 터미널에서 실행해준다. 

sonar-scanner \
  -Dsonar.projectKey=afun_wallet \
  -Dsonar.sources=. \
  -Dsonar.host.url=http://localhost:9000 \
  -Dsonar.login=sqp_69cdcf53da3cf2e408ae6999a7f3338c23304032