[코드분석도구]# 3 SonarLint, SonarQube

2021.08.21 - [Backend/Java] - [코드분석 도구]# 1 코드 커버리지란?

2021.08.21 - [Backend/Java] - [코드분석도구]#2 Jacoco 적용하기

 

# 정적 코드분석(static program analysis)

실제 실행없이 정적인 코드나 목적파일을 통해 소프트웨어를 분석하는 것을 말합니다. 소스코드의 구조적인 문제, 잠재적 위험성, 코드 컨벤션(냄새나는 코드)를 찾는데 사용됩니다. 

• 중복 코드, 코딩 표준, 유닛 테스트, 코드 커버리지(Jacoco), 코드 복잡도, 버그 및 취약점등.

반대로 동적 분석(실제 프로그램을 실행시키며 분석)은 테스트를 위한 실행환경 구축이 어렵고 소스 코드의 모든 분기를 테스트해보기 어렵기에 테스트나 모니터링에 주로 사용됩니다.

---

# SonarLint

SonarQube를 베이스로 만든 IntelliJ, Eclipse, VsCode등에 있는 IDE 플러그인입니다. SonarQube를 사용하면 젠킨스 빌드와 연동시키고, 프로젝트 관리를 체계적으로 할 수 있다는 장점이 있지만 SonarQube를 위한 CI 서버를 띄운다는 것 자체가 귀찮은 과정입니다. 또한 아무래도 PR을 날려야 분석을 받을 수 있다보니 답답함도 추가되구요.

 

그래서 팀단위의 규모있는 프로젝트가 아니라면 커밋전에 SonarLint 분석 옵션을 넣는 것만으로도 충분합니다.

SonarLint 설치시 생기는 커밋옵션 (intelliJ)

SonarLint를 실행하면 (좌측상단 실행버튼) 이런 식으로 위험성이 있는 코드들을 분석해 개발자에게 알려줍니다.

 

---

# SonarQube(소나큐브)

Jacoco가 코드 커버리지측정 라이브러리라면, 소냐큐브는 정적분석 도구입니다. (구글 애널리스틱을 생각하면 됨) 소냐큐브 서버를 띄워서 Jacoco가 만들어낸 리포트(.xml)를 전송하면 웹으로 통계를 볼 수 있습니다.

 

자바에서 사용가능한 정적분석 도구의 경우 PMD, FindBugs, CheckStyle등이 있습니다. 

• PMD ( https://pmd.github.io )
  미사용 변수, 비어있는 코드 블럭, 불필요한 오브젝트 생성과 같은 Defect을 유발할 수 있는 코드를 검사
• FindBugs ( http://findbugs.sourceforge.net )
  정해진 규칙에 의해 잠재적인 에러 타입을 찾아줌
• CheckStyle ( http://checkstyle.sourceforge.net )
  정해진 코딩 룰을 잘 따르고 있는지에 대한 분석

그 중에서도 SonarQube(이전에 Sonar라고 불렸던) 도구의 경우 위에 알려진 다른 툴들의 종합판이라고 생각할정도로 기능이 많습니다. 무엇보다 레퍼런스가 다양하고 github와 Jenkins등 연동성이 좋아 많이 사용됩니다.

 

---

# SonarQube 설치하기

SonarQube는 코드를 분석하는 [Scanner]와 분석결과를 API로 받아 보고서를 만드는 [웹 서버]로 구성됩니다.

빌드 툴(Gradle등)에 따라 다양한 스캐너가 지원되는데, 사용하고자하는 스캐너를 설치하면 됩니다.

 

또한 레퍼런스가 많고 기능이 좋아서, 왠만한 CI/CD 도구들과는 다 호환된다고 생각하면 됩니다. 실제로 Docker로 쉽게 설치한 후, 젠킨스 같은 도구로 코드를 컴파일/빌드하고 소냐큐브에게 API로 보내 검사를 의뢰하는게 일반적인 구성입니다. 이렇게 API로 전송받으면 소냐큐브는 웹 서버를 이용해서 분석 결과를 시각적으로 리포팅하게 됩니다.

거기에 SonarLint까지 써주면 IDE에서 까지 연동이 됩니다.

 

* 구체적인 설치방법은 나중에 SonarQube 서버를 Docker에 직접 설치할 때 추가로 작성할 예정입니다. 그전까지는 잘 설명된 링크로 대체.

@코드 분석 도구 적용기 - 3편, SonarQube 적용하기

코드 분석 도구 적용기 - 3편, SonarQube 적용하기