SonarQube 依赖性检查声纳插件

Question

我在 SonarQube 上显示漏洞时遇到问题。以下是我遵循的步骤：

1. 在 SonarQube 上安装了 dependency-check-sonar-plugin 版本 1.0.3。

2. 配置仪表板以包含漏洞 widjet。

3. 生成的依赖报告使用：mvn org.owasp:dependency-check-maven:1.3.6:check -Dformat=XML。

4. 报告已放入 [project]/target/dependency-check-report.xml

5. 运行声纳任务：org.codehaus.mojo:sonar-maven-plugin:2.3:sonar 任务成功完成，但我在漏洞 widjet 中没有看到数据。任何人都知道什么可以阻止插件看到报告？

提前致谢！拉达

Answer 1

为了解决这个问题，我联系了插件的创建者 Steve Springett。他有很好的端到端示例来说明应该如何配置插件。
我添加 <sonar.dependencyCheck.reportPath>${dependency.check.report.dir}/dependency-check-report.xml</sonar.dependencyCheck.reportPath>了我的 pom 的属性并使用了以下两个插件：

<plugin>
    <groupId>org.codehaus.mojo</groupId>
    <artifactId>sonar-maven-plugin</artifactId>
    <version>2.6</version>
</plugin>
<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>1.3.1</version>
    <configuration>
        <format>XML</format>
        <outputDirectory>${dependency.check.report.dir}</outputDirectory>
    </configuration>
</plugin>