c# - 使用 SonarCloud 分析拉取请求

Question

我想使用 SonarQube 分析对我的项目提出的任何 拉取请求 (PR)。

几个要点:

• 我的项目托管在 Github 上，它是公开的，是用 C# 编写的，我使用 Appveyor 进行持续集成 (CI)；
• 我正在使用 SonarCloud(SonarQube 的公共(public)实例)进行代码质量检查，它已经在分析内部 PR(即从主存储库生成的 PR，例如合并 dev在 master 分支上分支)；
• 我希望它能够分析外部 PR(即，从我的项目的任意分支生成的 PR)，这可以使用 SonarQube Github plugin ;
• 最重要的是:我不会将我的 API key 放在任何公共(public)文件上，Appveyor 也不会在公共(public) PR 上公开我的安全 token 。

鉴于这些要点，这就是我所做的:

• 创建了一个机器人并赋予它对我的存储库的写入权限(如 here 所述)；
• 在 sonarcloud 和 Administration -> Settings -> Pull Requests (Alpha) 下，我将 Authentication token 设置为机器人的 token ，并将 Repository identifier 设置为我的存储库地址，格式为 <Organization>/<Repo>；
• 更新我项目的 appveyor.yml 文件，以便对所有 PR 运行 SonarQube 分析；类似于以下内容:

build_script:
choco install "msbuild-sonarqube-runner" -y
MSBuild.SonarQube.Runner.exe begin /k:"REPO" /o:"ORGANIZATION" /d:"sonar.host.url=https://sonarcloud.io" /d:"sonar.analysis.mode=preview"
MSBuild.exe /t:Rebuild
MSBuild.SonarQube.Runner.exe end 

但是，我仍然没有看到 SonarQube 使用机器人来评论新的 PR(类似于 their demo。

Answer 1

您尝试激活的功能尚未准备好使用 - 这就是将其命名为“Alpha”的原因 (Administration -> Settings -> Pull Requests (Alpha))。

在任何情况下，即使此功能准备就绪，虽然这将保护您的 GitHub token ，因为您将仅将其保存在 SonarCloud 上(这很棒)，但您仍然需要提供您的 < strong>SonarCloud token 以执行分析。由于您不想公开您的 SonarCloud token ，因此您将无法分析外部拉取请求。不幸的是，我们目前没有解决此限制的方案。