1.概念、設計思想、用語を理解する
concepts（公式ドキュメント）
公式ドキュメント内の主要な用語、概念のリスト。（約10分）
conceptsに対する補足、注釈
- 資料中、Analyzerに該当する製品がSonarScanner。
- 資料中、Serverに該当する製品がSonarQube。
SonarQubeの静的解析を構成する概念について
主要概念の関係、管理画面を見るときに理解の助けとなる要約的な資料。（約10分）
JTF2021 D12 『SonarQube をより有効活用する』
SonarQubeが生まれた背景、どう活かしていくか、についての発表（約20分）
まとめ
- Rule、Issue、QualityProfileの関係について理解する
- Issueの種類と重要度を把握する
- 開発者全員が品質意識を持ち、開発プロセスの中に品質チェックを組み込む
2.実際に使ってみる
Try out SonarQube（公式ドキュメント）
Try out SonarQubeに関する補足
- 手元にDocker環境がある場合、Dockerが楽。
- この資料で説明されているのはSonarQube（ConceptsにおけるServer）のみである点に注意。
- conceptsの項目で説明されている通り、解析はAnalyzerにあたるSonarScannerが行うので、解析を行う環境に別途インストールが必要（後述）
- 実際の運用では共用サーバーにSonarQubeを建てる方がよい
- CommunityEditionでは、解析対象のブランチが1つしか選べない
SonarScanner（公式ドキュメント）
3.プロジェクトにあわせて設定のカスタマイズを行う
Analysis parameters（公式ドキュメント）
解析パラメータについて。特に、資料中のSettingHierarchyはよく理解しておくこと。
補足
- 解析パラメータは4箇所で設定できるが、このうちProject analysis parametersが扱いやすそう。
※sonar-project.properties というファイルの形でリポジトリ管理できるため - 特定のIssueを無効化するなどの微調整を行う際にも利用する（後述）
PHP test coverage（SonarQube公式ドキュメント）
PHPのテストカバレッジについて。
SonarQubeはカバレッジレポート生成機能を持たないため、サードパーティ製のパッケージ（ほとんどの場合PHPUnit？）が生成したカバレッジレポートをインポートして、SonarQube上で利用する。
The XML Configuration File（PHPUnit公式ドキュメント）
- phpunitが出力するカバレッジレポートをSonarQubeにインポートする際、phpunit側の設定としてxml出力を定義しておくと楽。
phpunit.xml
<!-- 例 -->
<coverage processUncoveredFiles="true">
<include>
<directory suffix=".php">./app</directory>
</include>
<report>
<clover outputFile="clover.xml"/>
</report>
</coverage>
Importing third-party issues（公式ドキュメント）
Issueのインポートについて。PHPStanが出力する形式に標準対応している。
Comma-delimited list of paths to PHPStan reports. Reports should be generated in the PHPStan JSON Output Format (use the PHPStan analyse command with the option --error-format=json).
Importing issues from SARIF reports（公式ドキュメント）
- 既にSonarQube以外のツールを使って解析をやっている場合、それらの解析結果をSonarQube上のIssueとして取り込みたい場合があるかもしれない。SARIF形式での出力をサポートしているツール、パッケージであればSonarQubeにインポート可能。(※phpstanの結果インポートはSonarCube側でインポートがサポートされている)
- 2023-06-20調査した範囲では、対応状況は以下。
PHPMD 〇
PHPCS ☓