项目

扫描报告

扫描配置

系统设置

使用指南

sourcefare

sourcefare - 文档

​在我们的日常研发过程中，为了持续检测和改进软件代码质量，会使用一些静态代码扫描工具。今天给大家推荐一款国产开源免费、简洁易用的静态代码扫描工具-sourcefare。

sourcefare支持代码安全漏洞、编码缺陷和合规性问题扫描，以及代码重复率、复杂度、覆盖率扫描，支持常见的Java、JavaScript、Go、Python、C++等语言，界面操作简洁明了、开源免费。

支持Java、JavaScript、Go、Python、C++等主流语言代码扫描。

支持服务器扫描（Git方式、代码压缩包上传方式）和客户端扫描（提供给CICD触发代码扫描，例如Arbess）。

私有部署支持一键安装，安装后即刻可用，无需额外配置。

直观的界面设计，结构清晰，让用户可以快速找到所需的功能模块。

免费开放源代码，支持社区协作和共享，推动项目不断发展和优化。

以下以linux Ubuntu安装为例，其它环境安装方式见官网文档。

启动后，通过 http://ip:8900 访问，默认使用admin/123456登录。系统默认支持本地账号登录，满足基础登录需求。若需要使用企业微信、钉钉或 LDAP 等高级登录方式，可参阅sourcefare文档获取相关配置说明。​

有兴趣的开发者朋友可以去Tiklab官网体验演示DEMO或下载安装使用，使用过程当中有什么好的建议或意见也欢迎加入社区-技术交流群反馈：）
体验地址：https://demo.tiklab.net/sourcefare
下载地址：https://download.tiklab.net/sourcefare


关于sourcefare

sourcefare社区版需要升级企业版，首先先需要确定当前版本，在

，可以找到当前的版本类型，点击“企业版特性”可以浏览到社区版和企业版功能对比。

如需要升级企业版，点击右侧订阅按钮。

点击订阅按钮，页面打开官网，用户需要经过登录后，进入订阅管理，选sourcefare点击订阅。

支付完成后，在已订阅会显示订阅的产品，点击订阅的产品右侧的“licence”。

在弹出的窗口填入sourcefare服务器的MAC地址，下载licence。

，导入下载的licence，即可升级为企业版本。

社区版和企业版的区别

加入我们的技术交流群，参与互动交流，提升自我。

联系我们

产品介绍

启动完成后，这样你就可以通过 http://localhost:8900 访问 

界面了，初始化账号为：admin ,密码为：123456，首次登录需要更改密码。

支持用户自定义，数据库，备份，统一登录等配置，用户可以根据自己的需求来更改，只需要编辑默认文件application.yaml即可。配置文件位置：默认在/opt/tiklab-sourcefare/conf 目录下。

Arbess同时支持用户使用外部数据库以及内嵌数据库。

外部数据库：用户自己定义链接数据库的地址，用户名，密码等。

内嵌数据库：使用系统内置的数据库。

支持用户自定义数据的保存位置。

dcs 是缓存配置，只能修改端口。

统一登录，即统一使用soular的用户，部门等，这样配置可以让一个用户同时使用多个应用。

程序安装结束后，可以在系统执行如下。

使用 sourcefarectl -v 或者 sourcefarectl version 查看当前安装版本。

Linux 安装配置

Docker镜像启动完毕之后，如需要将Docker镜像中的数据目录挂载到主机，需要执行如下命令

挂载完毕后，启动系统，系统会读取设置的主机数据目录和配置文件。

启动完成后，这样你就可以通过 http://localhost:8900 访问 sourcefare 界面了，初始化账号为：admin ,密码为：123456，首次登录需要更改密码。

允许自定义端口、数据存放目录、数据库连接、数据库备份策略和统一登录设置，以满足特定个性化需求。yaml文件默认位置：

允许用户自定义应用的启动端口，以便在特定网络环境下避免端口冲突或满足其他配置需求。

支持自定义数据库连接方式，用户可以选择使用内嵌数据库或指定外部数据库地址。根据需求配置数据库连接。

支持用户自定义数据存放目录的位置，帮助用户根据需要选择存储路径。

统一登录，即统一使用Soular的用户，部门等，这样配置可以让一个用户同时使用多个应用。需要安装Soular，具体安装详见Soular文档。

Docker 安装配置

启动完成后，这样你就可以通过 http://localhost:8900 访问 SourceFare 界面了，初始化账号为：admin ,密码为：123456，首次登录需要更改密码。

Windows 安装配置

MacOS 安装配置

安装配置

sourcefare支持代码安全漏洞、编码缺陷和合规性问题扫描，以及代码重复率、复杂度、覆盖率扫描，支持常见的Java、JavaScript、Go、Python、C++等语言。sourcefare支持配置代码扫描方案配置，以及质量门禁配置。

sourcefare内置多种扫描规则，根据语言内置代码扫描方案。

点击响应的扫描规则集，可查看详细的扫描规则。

代码扫描方式可以自定义设置，进入系统设置→扫描方案，进行自定义添加。

点击添加方案，可以自定义选择扫描规则。

自定义扫描规则创建完毕后，在新建项目可选择自定义的扫描规则。

在项目中可设置代码质量门禁，超过设定的门禁表示代码扫描不通过。也可以关闭门禁，关闭门禁问题数量不影响代码扫描结果。

门禁设置完成后，点击扫描按钮执行扫描。扫描的问题超过设置的门禁，扫描不通过。

扫描的问题未超过设置的门禁，扫描通过。

本文将介绍如何创建项目，使用Git方式进行代码扫描。

安装启动完毕后，默认可以通过 http://ip:8900 访问，默认用户名/密码为admin/123456。
默认支持通过账号密码登录，满足基础登录需求。若需要使用企业微信、钉钉或 LDAP 等高级登录方式，可参阅sourcefare文档获取相关配置说明。​

进入系统后，可根据不同需求来创建不同的项目。sourcefare支持服务器扫描和客户端扫描，服务器扫描分为代码压缩包上传扫描和Git代码仓库扫描，客户端扫描提供给CICD工具Arbess集成扫描。


在项目页面点击新建项目，配置项目的基本信息，如名称，项目权限，成员等。​﻿

​流水线信息输入完毕之后，点击下一步配置扫描，扫描方式选择服务器扫描（Git），服务器扫描（Git）方式支持GitPuk代码仓库，需要提前在系统设置→集成开放进行维护。

点击添加仓库服务，输入GitPuk服务地址以及用户名密码进行添加。配置服务集成后，选择扫描方案、扫描环境、以及是否进行覆盖测试。

项目创建成功之后，需要对访问项目的成员进行管理。首先添加系统用户，依次点击系统设置->用户与权限->用户，在用户页面对系统用户进行管理。​

系统用户添加完成之后，可以对项目成员进行添加，在项目详情→设置→成员，进入成员编辑页面。

如果用户在创建项目未选成员，那么流水线默认有创建人和admin两个成员。点击添加用户，添加的成员列表从系统用户列表获取。点击添加用户，勾选添加用户，点击确定即可成功添加流水线成员。

添加项目成员后，可以对成员分配权限、修改角色，点击流水线详情→设置→权限，可浏览到内置角色，也可以对角色进行新增。

在流水线详情→设置→成员，点击“角色修改”，对成员角色进行修改。成员角色可多选。

例如创建Java代码扫描，选择如下信息，完成创建。

完成创建后，进入项目详情，在扫描报告页面，点击右上角扫描按钮进行代码扫描。

扫描完成后，点击报告编号即可查看详细代码扫描报告。


Git方式代码扫描

本文将介绍如何创建项目，并上传代码压缩包并进行代码扫描。

流水线信息输入完毕之后，点击下一步配置扫描，扫描方式选择服务器扫描（包上传），扫描方案安装代码选择相应的扫描方案、扫描环境、以及是否进行覆盖测试。

完成创建后，进入项目详情，在扫描报告页面，上传代码压缩包。

成功上传代码包后，扫描报告页面显示为扫描记录列表，点击扫描按钮执行扫描。

代码包上传扫描

扫描完成后在扫描报告页面显示代码扫描历史列表。

点击相应代码扫描编号，查看详细报告。代码扫描报告首页展示报告概览，通过扫描出的问题和设置的阈值展示代码扫描结果。

点击问题TAB显示当次扫描历史出的所有问题列表。点击问题编号可查看详细问题描述。

在问题列表点击问题的描述信息，可浏览详细问题描述。以及对问题进行处理。

在度量TAB可显示当前代码扫描历史的重复率、复杂度、覆盖率等报告。

在代码tab可查看扫描问题所在代码的路径。

快速入门

添加项目

编辑项目

查询项目

删除项目

代码压缩包代码扫描

CICD方式代码扫描

查看规则集

配置扫描方案

配置扫描门禁

用户

权限

消息

集成与开放

安全

​配置企业微信登录，首先需要填写企业微信的信息，开启企业微信配置后即可同步用户信息及登录。进入系统设置→用户→用户目录需要配置企业微信。


需要填写企业微信应用凭证，用于验证调用方身份并授权操作权限的密钥，主要包括以下类型：

企业微信应用凭证在企业微信应用管理中获取。


企业微信还需要效验地址的合法性，需要在企业微信应用中心 --> 进入应用 --> 授权回调域 --> 点击效验按钮下载文件 --> 下载完成后上传即可。

​配置成功后点击开启，此时同步数据的按钮会亮起，点击同步数据，就会把企业微信下的用户信息同步到Arbess。

若配置信息填写错误导致同步数据失败，点击禁止，配置按钮会再次亮起，可以修改配置信息。

​配置完成后在用户列表可以查询到同步的企业微信用户。

退出程序后，在登录页面点击企业微信登录，使用企业微信用户进行登录。

​配置钉钉登录，首先需要填写钉钉的信息，开启钉钉配置后即可同步用户信息及登录。进入系统设置→用户→用户目录需要配置钉钉。

需要填写钉钉应用凭证，用于验证调用方身份并授权操作权限的密钥，主要包括以下类型：


钉钉应用凭证在钉钉开放平台中获取。

RedirectUri为钉钉开放平台微应用回调的URL，在应用功能→登录与分享添加。

​配置成功后点击开启，此时同步数据的按钮会亮起，点击同步数据，就会把钉钉下的用户信息同步到Arbess。


若配置信息填写错误导致同步数据失败，点击禁止，配置按钮会再次亮起，可以修改配置信息。

​配置完成后在用户列表可以查询到同步的钉钉用户。

退出程序后，在登录页面点击钉钉登录，使用钉钉用户进行登录。

​配置LDAP登录，首先需要填写LDAP的信息，开启LDAP后即可同步用户信息及登录。进入系统设置→用户→用户目录需要配置LDAP。

支持OpenLDAP和Microsoft AD两种类型的LDAP。

需要输入OpenLDAP名称、服务器地址、端口号、Base DN、是否使用SSL模式、管理员DN、密码、所属OU节点信息。

需要输入Microsoft AD名称、服务器地址、DC(域)、CN(组织)、用户名、密码信息。

​配置成功后点击开启，此时同步数据的按钮会亮起，点击同步数据，就会把ldap下的用户信息同步到系统用户。

​配置完成后在用户列表可以查询到同步的LDAP用户。


退出程序后，在登录页面点击LDAP登录，使用LDAP用户进行登录。

集成钉钉、企业微信、LDAP，同步用户并登录sourcefare系统

使用 http://ip:9100 进行访问。使用初始用户名密码admin\123456登录。成功登录后展示soular首页。

使用 http://ip:8900 进行访问。使用初始用户名密码admin\123456登录，首次登录需要修改管理员密码。成功登录后展示sourcefare首页。

配置统一登录，需要修改application.yaml。配置文件yaml文件各个系统的默认位置：


以CentOS为例，找到配置文件application.yaml，编辑配置文件，找到auth项目。

将auth.type值调整为soular，auth.soular.address调整为文章第一段启动的链接（即soular的启动地址）。

配置完成后，重启sourcefare系统。重启完成之后，进入sourcefare登录页，使用soular用户登录。进入系统设置→用户，点击用户信息，都会跳转到soular维护。

sourcefare统一登录配置完成后，可以在soular配置sourcefare地址，实现在soular用户同时使用多个应用。

集成soular实现统一认证登录

​Arbess 是一款国产开源免费的 CI/CD 工具，利用Arbess可以实现在CICD过程中配置sourcefare代码扫描。本文将详细介绍如何安装配置使用sourcefare、Arbess系统，GitLab提交代码自动触发流水线拉取GitLab源码、并使用sourcefare代码扫描，然后进行java构建并部署到主机。

本章节将介绍如何使用CentOS搭建sourcefare服务，提供给Arbess调用进行代码扫描。


使用 http://ip:8900 进行访问。使用初始用户名密码admin\123456登录。成功登录后展示sourcefare首页。

sourcefare登录成功，需要添加项目，以及代码扫描计划，Arbess运行代码扫描需要代码扫描计划ID，代码扫描报告会归类到相应代码扫描计划。

在项目页面点击新建项目按钮进行新建。输入项目名称以及项目访问信息（公开、私密）进行创建。


成功创建项目后，继续创建扫描计划，创建扫描计划后，在扫描计划页面，需要记住ProjectKey，后期Arbess集成SourceFare需要用到，也可查看Arbess调用的历史扫描计划报告。

使用 http://ip:9200 进行访问。使用初始用户名密码admin\123456登录，首次登录需要修改管理员密码。

Arbess流水线采用可视化设计，搭建自动化代码扫描、自动化测试平台，在流水线中可克隆GitLab仓库代码、集成sourcefare进行代码扫描。创建流水线，进入流水线设计页面进行操作。


进入流水线设计，点击新阶段→源码→GitLab。需要填入任务名称、Git版本、GitLab授权信息（AccessTocken）、仓库、分支等信息。

流水线配置sourcefare任务之前，需要添加sourcefare服务集成，在系统设置→集成与开放→服务集成页面添加相关服务。授权类型选择sourcefare、填写名称、服务地址、认证类型（用户名密码、密钥）、用户名、密码。

还需要配置sourcefare Scanner工具，进入官网下载。下载对应系统文件。在系统设置→集成与开放→工具集成页面添加相关服务。授权类型选择Sonar Scanner、填写名称、安装方式选择安装包，上传sourcefare Scanner工具安装包。

上传sourcefare Scanner工具安装包，系统会自动解析运行文件地址。

服务集成添加完毕之后，进入流水线设计，点击新阶段→代码扫描→sourcefare代码扫描。输入代码扫描信息，输入完成后，点击空白处进行保存。

代码扫描添加完毕之后，添加构建安装包任务。根据代码构建方式选择Maven构建，点击新阶段→构建→Maven构建。输入构建信息，输入完成后，点击空白处进行保存。

点击新阶段→部署→主机部署。输入部署信息，部署的内容可以使用变量，添加变量后使用${变量名称}进行引用，输入完成后，点击空白处进行保存。

至此流水线设计完毕，下面介绍流水线运行以及查看代码扫描报告。

流水线设计完毕之后，Arbess支持自动触发、Webhook触发、手动触发三种运行模式。点击右上角“运行”按钮，手动触发流水线。

流水线运行同时，点击认为标签右下角“日志”，可查看运行实时日志。

点击测试报告→代码扫描→sourcefare，查看sourcefare代码扫描报告。

点击sourcefare代码扫描报告名称，进入跳转到sourcefare查看详细报告。


问题TAB显示详细问题列表，点击问题列表的问题名称，还可以查看代码详细问题。

sourcefare还可以查看代码重复率、复杂度、覆盖率等信息。

可以在Arbess历史页面查看到流水线运行历史。点击运行历史序号，即可查看详细的运行日志。

至此，使用Arbess成功搭建流水线，用来拉取GitLab源码、使用sourcefare代码扫描，并且设置Webhook触发。

集成Arbess实现Java项目sourcefare代码扫描并主机部署

最佳实践

社区版本和企业版本区别可参考官网地址：https://tiklab.net/price/arbess

也可以下滑查看详细的版本方案对比：

社区版本和企业版本区别？

在官网登录个人账号，点击头像进入个人中心。

选择自己需要的软件，提交订单。

付款方式支持微信、支付宝以及对公转账。

如何购买企业版？

首先需要下载社区版本，在社区版本导入licence升级到企业版本，企业版本采用一次付费，不限人终身使用的方式。

Arbess社区版需要升级企业版，首先先需要确定当前版本，在

点击订阅按钮，页面打开官网，用户需要经过登录后，进入订阅管理，选Arbess点击订阅。

在弹出的窗口填入Arbess服务器的MAC地址，下载licence。

下载完成，回到私有化部署的版本，在

数据中心版本下载需要联系售前咨询客服，我们在收到您的需求会及时和您联系。

社区版如何升级企业版和数据中心版？

产品购买完成后，可以在购买账号的发票管理中，选择申请开票。

申请开票列表会显示已购的软件，勾选已购软件进行开票。

已开票和开票中的信息都可以在发票管理进行查询。

开完票，在已开票列表显示，查看发票详情可下载发票。

购买成功后，如何开票？以及发票问题

在官网悬浮窗口即可找到售前客服的二维码，微信扫码即可咨询。

在官网最下面可以找到社区技术交流区二维码以及微信公众号。