Sonarqube Zapscan 和依赖检查

Question

我正在使用sonar zap scan和sonar dependency check插件，当我通过jenkins 运行 sonar standalone analysis时，会生成zap scan报告，当我们为同一个项目生成依赖检查报告时，zap扫描报告正在被覆盖。是否有任何解决方案可以同时获取项目的依赖项检查和 zap 报告而不是获取 overwritten.the 下面是项目依赖项

的属性

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project (Dependencies Check)  
sonar.projectVersion=1.0.0  

# optional description  
sonar.projectDescription= Project dependency test results.  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# dependency Report 
sonar.dependencyCheck.reportPath=dependency-check-report.xml

以下是项目 zap 扫描的声纳属性

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project  
sonar.projectVersion=1.0.0  

# optional description  
sonar.projectDescription= Project zap test results.  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# ZAP Scan Report  
sonar.zap.reportPath=report/security_report.html

我们正在使用 sonarqube 5.5

Answer 1

您得到的结果是您所用程序的自然结果。

您不能"update" 现有分析。如果要在分析中显示来自两个报告的数据，则必须将两个报告都传递给分析。例如：

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project (Dependencies Check)  
sonar.projectVersion=1.0.0  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# dependency Report 
sonar.dependencyCheck.reportPath=dependency-check-report.xml

# ZAP Scan Report  
sonar.zap.reportPath=report/security_report.html

如果你真的必须 运行 分开，然后给它们单独的键，这将在 SonarQube 中产生两个不同的项目。