sonar dotnet

Codequalität und Sicherheit für C# und vb.net

Produkt	Qualitätstor	Berichterstattung
Analysator
Plugin

Statische Analyse von C #- und VB.NET -Sprachen in Sonarqube Server, Sonarqube Cloud und Sonarqube für IDE -Codequalität und Sicherheitsprodukte. Diese Roslyn -Analysatoren ermöglichen es Ihnen, sauberen Code zu erstellen, der sicher, zuverlässig und warten kann, indem Sie Fehler, Schwachstellen und Codegerüche in Ihrer Codebasis finden und korrigieren.

Merkmale

• 470+ C# Regeln und 210+ VB. Nettoregeln
• Metriken (kognitive Komplexität, Duplikationen, Anzahl der Linien usw.)
• Import von Testabdeckungsberichten aus Visual Studio Code Code, Dotcover, Opencover, Coverlet, Altcover.
• Import von Roslyn-Analysatoren-Ergebnissen von Drittanbietern
• Unterstützung für benutzerdefinierte Regeln

Nützliche öffentliche Ressourcen

• Projekt Homepage
• Ausgabeverfolgung
• C# Regeln
• VB.NET Regeln

Nuget.org Pakete

• Sonaranalyzer.csharp
• Sonaranalyzer.visualBasic

Integration mit Sonarqube

• Analysieren Sie Projekte mit Sonarscanner für .NET
• Codeabdeckung importieren
• Sonarqube und die Codeabdeckung

Haben Sie eine Frage oder ein Feedback?

• Kontaktieren Sie uns in unserem Community -Forum, um Feedback zu geben, um Hilfe zu bitten und neue Regeln oder Funktionen anzufordern.
• Erstellen Sie ein GitHub-Problem, wenn Sie einen Fehler, falsch-positiv oder falsch negativ gefunden haben.

Fangen an

• Bauen, Testen und Debuggen des .NET -Analysators
• Bauen, Testen und Debuggen des Java -Plugins
• Wie man Nuget-Sperrdateien neu generiert
• Verwenden des Skripts rspec.ps1

Wie man beiträgt

Es gibt viele Möglichkeiten, wie Sie zum sonar-dotnet -Projekt beitragen können. Respektieren Sie bei Beitragszüge bitte unseren Verhaltenskodex.

Schließen Sie sich den Diskussionen an

Eine der einfachsten Möglichkeiten, um einen Beitrag zu leisten, besteht darin, Ihr Feedback mit uns zu teilen (siehe Feedback geben) und auch Fragen aus unserem Community -Forum beantworten. Sie können auch die Aktivität in diesem Repository (geöffnete Probleme, geöffnete PRS) überwachen, um das zu kennen, was wir tun.

Pull Anfrage (PR)

Wenn Sie ein Problem beheben möchten, lesen Sie bitte zuerst die Startseiten und stellen Sie sicher, dass Sie unserem Codierungsstil folgen.

Stellen Sie vor dem Einreichen der PR sicher, dass alle Tests bestehen (alle Schecks müssen grün sein).

• Wir schlagen vor, dass Sie keine Probleme mit dem Area: CFG -Etikett auswählen (sie sind schwierig, können viele Nebenwirkungen haben und sind weniger wahrscheinlich akzeptiert) .
• Wir schlagen vor, dass Sie keine neuen Regeln implementieren, es sei denn, sie sind bereits für C# und/oder VB.NET in unserem Regeln -Repository angegeben.

Hinweis: Unser CI wird nicht automatisch von externen Mitwirkenden auf die PRs ausgelöst. Ein Mitglied unseres Teams überprüft den Code und löst den CI on Demand durch Hinzufügen eines Kommentars zur PR (siehe Azure Pipelines Kommentar auslöst Dokumente):

• /azp run Sonar.Net - Es wird die vollständige Pipeline ausführen, einschließlich Plugin -Tests und Promotion

Begleiten Sie uns

Wenn Sie ganztägig an diesem Projekt arbeiten möchten, stellen wir ein!

Benutzerdefinierte Regeln

Um neue Regeln anzufordern, kontaktieren Sie uns in unserem Community -Forum.

Wenn Sie eine Idee für eine Regel haben, sich jedoch nicht sicher sind, ob jeder sie benötigt, können Sie Ihren eigenen Roslyn -Analysator implementieren.

• Sie können mit diesem Tutorial von Microsoft beginnen, um einen Analysator zu schreiben.
• Alle Roslyn-basierten Probleme werden vom Sonarscanner für .NET aufgenommen und als externe Probleme nach Sonarqube gedrängt.
• Schauen Sie sich auch Sonarqube Roslyn SDK an, um Ihren Roslyn -Analyzer in ein Sonarqube -Plugin einzubetten, wenn Sie Ihre Regeln von Sonarqube von Sonarqube verwalten möchten.

Regeln konfigurieren

Sonarqube für ide

Am einfachsten besteht die Konfiguration eines Qualitätsprofils in Sonarqube.

Öffnen Sie die Regel in Sonarqube, scrollen Sie nach unten und (falls die Regel Parameter enthält) können Sie die Parameter für jedes Qualitätsprofil konfigurieren, zu dem die Regel Teil ist.

Verwenden Sie Sonarqube für den IDE Connected -Modus, um eine Verbindung zum Sonarqube Server oder mit der Cloud herzustellen.

Eigenständiger Nuget

Die Regeln aus eigenständigen Nuget -Paketen können auf die gleiche Weise wie die anderen Analysatoren auf der Grundlage von Roslyn aktiviert oder deaktiviert werden, indem die Dateien .globalconfig oder .editorconfig verwendet werden. Siehe: https://learn.microsoft.com/en-us/visualstudio/code-quality/use-roslyn-analyzers?view=vs-2022#set-rule-severity-in-an-editorconfig-file

Wenn die Regeln parametrisiert sind, können die Parameterwerte unter Verwendung von zusätzlichen Dateien SonarLint.xml geändert werden.

Der erste Schritt besteht darin, eine neue Datei namens SonarLint.xml zu erstellen, die die folgende Struktur hat:

<? xml version = " 1.0 " encoding = " utf-8 " ?>
< AnalysisInput xmlns : xsd = " http://www.w3.org/2001/XMLSchema " xmlns : xsi = " http://www.w3.org/2001/XMLSchema-instance " >
  < Settings >
    < Setting >
      < Key >sonar.cs.analyzeGeneratedCode</ Key >
      < Value >false</ Value >
    </ Setting >
  </ Settings >
  < Rules >
    < Rule >
      < Key >S107</ Key >
      < Parameters >
        < Parameter >
          < Key >max</ Key >
          < Value >2</ Value >
        </ Parameter >
      </ Parameters >
    </ Rule >
  </ Rules >
</ AnalysisInput >

Aktualisieren Sie dann die Projekte, um diese zusätzliche Datei einzuschließen:

< ItemGroup >
  < AdditionalFiles Include = " SonarLint.xml " />
</ ItemGroup >

Interne Ressourcen

Konfiguration erstellen

• VM Images Repository
• Bereitstellung von Repository
• Azure Pipelines
• Pfirsichkonfiguration

Sicherheitsprobleme

Wenn Sie der Ansicht sind, dass Sie eine Sicherheitsanfälligkeit in Sonars Produkten entdeckt haben, überprüfen Sie bitte dieses Dokument

Lizenz

Copyright 2014-2024 SonarSource.

Lizenziert unter der Sonar-Quelle-verfügbare Lizenz v1.0