Sonarqube Zapscan和依赖性检查

Question

我正在使用声纳zap扫描和声纳依赖性检查插件，当我通过jenkins运行声纳独立分析时，会生成zap扫描报告，当我们为同一项目生成依赖性检查报告时，zap扫描报告将被覆盖。是否有任何解决方案来获取项目的依赖项检查和zap报告而不是被覆盖。以下是项目依赖项的属性

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project (Dependencies Check)  
sonar.projectVersion=1.0.0  

# optional description  
sonar.projectDescription= Project dependency test results.  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# dependency Report 
sonar.dependencyCheck.reportPath=dependency-check-report.xml

以下是项目zap扫描的声纳属性

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project  
sonar.projectVersion=1.0.0  

# optional description  
sonar.projectDescription= Project zap test results.  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# ZAP Scan Report  
sonar.zap.reportPath=report/security_report.html

我们正在使用sonarqube 5.5

Answer 1

您获得的结果是您正在使用的程序的自然结果。

您无法“更新”现有分析。如果要在分析中显示两个报告中的数据，则必须将两个报告都传递给分析。例如：

# required metadata  
sonar.projectKey=Project  
sonar.projectName=Project (Dependencies Check)  
sonar.projectVersion=1.0.0  

# path to source directories (required)  
sonar.sources=.  

# Encoding of the source code 
sonar.sourceEncoding=UTF-8  

# dependency Report 
sonar.dependencyCheck.reportPath=dependency-check-report.xml

# ZAP Scan Report  
sonar.zap.reportPath=report/security_report.html

如果你真的必须单独运行它们，那么给它们单独的键，这将在SonarQube中产生两个不同的项目。