华为云CodeArts Check代码检查服务对接与使用完全指南

1. 引言：代码质量管控的云上利器

在软件开发的生命周期中，代码质量始终是决定产品成败的关键因素之一。传统的代码审查依赖人工逐行检查，效率低下且容易遗漏潜在问题。静态代码分析技术通过自动化扫描，能够在编码阶段就发现代码风格、逻辑缺陷、安全漏洞等各类问题，大幅降低修复成本。华为云CodeArts Check正是这样一款基于云端实现的代码检查服务。

CodeArts Check建立在华为多年自动化源代码静态检查技术积累与企业级应用经验的沉淀之上，为用户提供代码风格、通用质量与网络安全风险等丰富的检查能力。它支持多语言、多框架的代码扫描，能够生成全面的质量报告，并提供便捷的问题闭环处理流程，帮助企业有效管控代码质量。本文将从零开始，系统讲解CodeArts Check的对接与使用，涵盖从服务开通、任务配置、规则集管理到API集成和流水线编排的全流程，并提供大量可操作的代码示例。

2. 服务开通与准备工作

2.1 账号注册与实名认证

在使用CodeArts Check之前，首先需要拥有一个华为云账号。如果您还没有华为账号，请访问华为云官网完成注册。注册成功后，系统会自动跳转至您的个人信息界面，此时需要完成个人或企业账号的实名认证。实名认证是使用华为云各项服务的基础前提。

需要先登录华为云控制台，点击：华为云控制台，还没有账号，点击：注册并关联，已有账号点击：登录后关联

2.2 开通CodeArts Check服务

登录华为云控制台后，在页面左上角服务列表中选择“开发与运维 > 代码检查 CodeArts Check”。进入产品页面后，点击“立即使用”即可开通服务。CodeArts Check提供了多种计费模式，包括按需计费和包周期套餐，您可以根据团队规模和使用频率选择合适的方案。

2.3 创建CodeArts项目

代码检查任务必须归属于某个CodeArts项目。在CodeArts服务首页，单击“Scrum”项目模板创建新项目。项目名称建议具有业务标识性，例如“Scrum01”。项目创建完成后，您就可以在该项目下进行代码检查的相关操作了。

2.4 配置项目级角色权限

CodeArts Check支持精细化的权限管理，通过IAM（统一身份认证）服务可以为不同角色分配不同权限。项目管理员、开发人员、测试人员等可以根据实际需要获得相应的操作权限。建议遵循最小权限原则，确保每个用户仅拥有完成本职工作所需的最低权限。

3. 代码检查任务的创建

完成准备工作后，即可开始创建代码检查任务。CodeArts Check支持多种代码源，包括CodeArts Repo（华为云自研代码托管服务）、通用Git（第三方Git仓库）、GitCode等。不同代码源的接入方式略有差异，下面分别介绍。

3.1 检查CodeArts Repo代码仓库

CodeArts Repo是华为云自带的代码托管服务，与CodeArts Check天然集成，配置最为简便。在CodeArts Check服务页面，单击“新建任务”，进入新建任务页面。选择代码源为“CodeArts Repo”，然后选择对应的代码仓库和分支，填写任务名称后即可完成创建。这是最快捷的接入方式，适合已经在使用华为云CodeArts全流程开发工具的团队。

3.2 检查通用Git代码仓库

如果您的代码存放在第三方Git仓库（如GitHub、GitLab、Gitee等），可以通过服务扩展点（Endpoint）实现对接。服务扩展点是软件开发生产线的一种扩展插件，为软件开发生产线提供链接第三方代码仓的能力。

具体操作步骤如下：在项目下的CodeArts Check服务页面导航栏选择“设置 > 服务扩展点”，单击“新建服务扩展点”，在下拉列表中选择“通用Git”。在弹窗中配置以下信息：连接名称（自定义，如“Endpoint01”）、Git仓库Url（待连接仓库的HTTPS地址）、用户名、密码或Access Token。配置完成后单击“确定”。

创建好服务扩展点后，回到“新建任务”页面，代码源选择“通用Git”，任务名称自定义（如“CheckTask01”），Endpoint实例选择刚刚创建的“Endpoint01”，仓库和分支保持默认即可，检查语言选择需要检查的语言类型（如Java、Python、C++等）。单击“新建任务”完成创建。

3.3 检查GitCode代码仓库

对于存放在GitCode平台上的代码，操作方式与通用Git类似。同样需要先创建GitCode类型的服务扩展点，然后在创建任务时选择对应的代码源和扩展点实例。

4. 规则集配置与管理

规则集是一组用于代码检查的规则集合，是代码检查的核心配置项。不同的规则集对应不同的检查目标和需求，比如安全类、安卓应用、编程风格、编码规范等。CodeArts Check提供了丰富的预置规则集，同时也支持用户自定义规则集。

4.1 预置规则集

CodeArts Check为每种支持的语言都预置了多个不同级别的规则集。初次使用代码检查服务时，每种编程语言都预置了一个默认的检查规则集。这些预置规则集覆盖了常见的代码风格、安全漏洞、性能问题等检查场景。

查看预置规则集的方法如下：访问CodeArts Check服务首页，单击“规则集”页签进入规则集列表页面。规则集列表支持按照“检查规则数量”和“修改时间”进行排序。单击规则集名称即可进入详情页面，查看该规则集中每条规则的详细信息，包括问题级别、正确示例、错误示例和修复建议等。

需要注意的是，系统预置规则集不支持直接编辑。如果预置规则集无法满足业务需求，可以基于预置规则集复制创建自定义规则集。

4.2 自定义规则集

当预置规则集无法覆盖特定业务场景时，自定义规则集就显得尤为重要。自定义规则集允许用户根据实际需要灵活组合检查规则，每个规则集中最少设置一条规则。目前仅支持配置单语言的规则集，即一个规则集只能配置同一种语言类型的检查规则。

创建自定义规则集的步骤如下：访问CodeArts Check服务首页，单击“规则集”页签进入规则集列表，单击“新建规则集”。在弹出的窗口中设置规则集名称、描述、检查语言和新建方式。新建方式有三种：直接新建（空的规则集，所有规则需逐一勾选）、复制（基于已有规则集复制）、继承（从已有规则集继承规则，最多支持继承5个规则集）。如果继承的多个规则集间有冲突，则以优先级高的为准，数值越小优先级越高。配置完成后单击“确定”，然后根据需要勾选规则并设置规则级别，最后单击“保存”即可。

关于自定义规则集有几点重要的约束与限制：代码检查规则集提供了代码安全检查增强包功能，使用前需要购买；自定义规则集中“检查语言”不支持修改；预置规则集和已被使用的自定义规则集无法删除；使用自定义规则扫描代码最多支持扫描10万行，时长最多1.5小时（仅适用于规则集中只包含自定义规则的场景）。

4.3 配置任务使用的规则集

创建好规则集后，需要将其关联到具体的代码检查任务。在代码检查任务详情页选择“设置 > 规则集”，即可为任务配置使用的规则集。如果用户需要修改各个语言的默认检查规则集，可以在“规则集”页面的“语言”列筛选需要配置的语言，然后单击规则集所在行选择“默认规则集”即可。新启用的规则集将在下一次执行检查时生效。

多个编译语言的规则集不能选择一起同时检查，例如C#语言规则集不可与其他语言规则集进行混合检查。

5. 执行代码检查任务

代码检查任务创建完成后，即可执行检查。在任务列表页面或任务详情页面，单击“开始检查”即可触发检查任务。检查过程中，CodeArts Check会拉取指定代码仓库的最新代码，按照配置的规则集进行静态扫描。

CodeArts Check支持多种检查模式，以适应不同的开发场景。在流水线中集成时，可以配置以下检查模式：full（对本次commit所在分支的全量代码进行检查）、push_inc_full（对本次commit的变更文件内容进行检查）、push_multi_inc_full（对上一次检查成功的commit到本次commit之间的变更文件内容进行检查）。增量检查模式能够显著提高检查效率，特别适合在持续集成流水线中使用。

6. 查看检查结果与问题闭环

检查任务执行完成后，CodeArts Check会生成全面的质量报告。用户可以在任务详情页面查看检查结果，包括问题总数、问题级别分布（严重、一般、提示等）、各类问题的详细列表等。

CodeArts Check提供了便捷的问题闭环处理流程。对于扫描出的每一个问题，系统都会给出详细的描述、问题所在的代码位置、正确的代码示例和修复建议。开发人员可以根据这些信息快速定位并修复问题。修复完成后，重新执行检查即可验证问题是否已解决。

此外，CodeArts Check还支持质量门禁功能。用户可以设定质量门禁阈值，例如严重问题的数量不能超过某个值。当检查结果不满足门禁要求时，可以阻止代码合入或流水线继续执行，从流程上保障代码质量。

7. API集成：构建自定义质量管控平台

除了通过Web控制台进行操作外，CodeArts Check提供了完整的REST API，允许开发者将代码检查能力集成到自己的开发工具链或管理平台中。通过调用API，可以不使用华为云前端界面，从而构建自己的全流程代码质量管控平台。

7.1 API调用基础

在调用CodeArts Check API之前，需要了解几个基本概念：账号（用户注册华为云时的账号，拥有完全访问权限）、IAM用户（由账号在IAM中创建的子用户，具有独立的身份凭证）、区域（Region，不同区域的服务终端节点不同）。

API调用的请求地址（终端节点）因区域而异，具体可参考地区和终端节点文档。在实际开发中，通常建议使用IAM用户的AK/SK（访问密钥）进行身份认证，而非直接使用主账号，以保障账号安全。

7.2 获取IAM用户Token

调用华为云API首先需要获取认证Token。以下示例展示如何通过API获取Token：

POST https://iam.myhuaweicloud.com/v3/auth/tokens
Content-Type: application/json

{
    "auth": {
        "identity": {
            "methods": ["password"],
            "password": {
                "user": {
                    "name": "your_username",
                    "password": "your_password",
                    "domain": {
                        "name": "your_domain_name"
                    }
                }
            }
        },
        "scope": {
            "project": {
                "name": "cn-north-4"
            }
        }
    }
}

响应头中的X-Subject-Token即为后续API调用所需的认证Token。

7.3 创建代码检查任务

获取Token后，可以调用创建检查任务的API。该API根据项目ID、代码仓库地址、分支、任务名称和规则集等参数创建代码检查任务，并返回新任务的任务ID。

POST https://codecheck.cn-north-4.myhuaweicloud.com/v3/task
Content-Type: application/json
X-Auth-Token: your_token_here

{
    "project_id": "your_project_id",
    "name": "APITestTask",
    "repo_url": "https://your-git-repo-url.git",
    "repo_type": "git",
    "branch": "master",
    "rule_sets": [
        {
            "id": "rule_set_id_here"
        }
    ]
}

其中project_id是32位的项目UUID，可以通过查询项目列表API获取。repo_url对于CodeArts Repo仓库需要以git开头，对于非CodeArts Repo仓库需要以http开头。

7.4 执行检查任务

任务创建成功后，可以调用执行检查的API来触发扫描：

POST https://codecheck.cn-north-4.myhuaweicloud.com/v3/task/{task_id}/run
X-Auth-Token: your_token_here

7.5 查询检查结果

检查任务执行完成后，可以调用查询结果的API获取详细的问题列表：

GET https://codecheck.cn-north-4.myhuaweicloud.com/v3/task/{task_id}/defects
X-Auth-Token: your_token_here

通过上述API的组合调用，开发者可以构建完整的自动化代码质量管控流程，包括代码提交触发检查、检查结果自动分析、问题自动分配给对应开发者等高级功能。

8. 流水线集成：CI/CD中的代码检查

CodeArts Check与CodeArts Pipeline（流水线服务）深度集成，可以在CI/CD流程中自动执行代码检查。这确保了每次代码变更都能被及时检查，从源头上保障代码质量。

8.1 图形化方式集成

在流水线编排界面，添加“Check代码检查”插件即可完成集成。插件参数配置如下：名称（可自定义修改）、项目配置（可选择本项目或其他项目）、项目选择（当选择“其他项目”时需指定）、请选择需要调用的任务（选择本项目下与流水线源配置代码仓相同的代码检查任务）、仓库（选择对应的代码仓）、检查模式（根据实际需求设置，提高检查效率）。

8.2 代码化方式集成（YAML）

对于采用基础设施即代码（IaC）理念的团队，CodeArts Pipeline支持通过YAML语法配置流水线。Check代码检查插件的YAML配置示例如下：

uses: CodeArtsCheck
with:
  jobId: 43885d46e13d4bf583d3a648e9b39d1e
  checkMode: full

其中jobId是代码检查任务的ID，checkMode可选full、push_inc_full或push_multi_inc_full。

代码化配置方式使得流水线配置可以纳入版本管理，便于团队协作和审计追溯。

9. 高级配置与最佳实践

9.1 定时执行检查

除了在流水线中触发检查外，CodeArts Check还支持配置定时执行。对于一些不经常变动的代码库，可以设置每周或每月定时执行一次全面检查，作为常规质量巡检。

9.2 消息通知

CodeArts Check支持配置消息通知，当检查完成或发现严重问题时，可以通过邮件、短信等方式通知相关负责人。这有助于团队及时响应代码质量问题。

9.3 MR增量检查

在Merge Request（合并请求）场景中，CodeArts Check支持增量检查模式。通过调用API方式，可以只检查MR中变更的代码行，而非全量扫描。这在大规模代码仓库中能够大幅缩短检查时间，提升开发体验。同时，这也使得代码检查可以作为合并请求的门禁条件。

9.4 Jenkins集成

对于使用Jenkins作为CI/CD工具的企业，CodeArts Check提供了与Jenkins的集成方案。通过Jenkins插件或调用CodeArts Check API，可以实现代码检查任务的自动触发、状态查询和报告输出。用户可以根据基础方案进行自定义开发，满足特定的集成需求。

9.5 自定义执行机

部分企业对代码有严格的保密要求，不允许将代码上传到外部网络。CodeArts Check为此提供了自定义执行机方案，可以在不上传代码到云服务的情况下使用代码检查服务。用户可以将自有执行机通过注册方式托管到CodeArts Check服务中，由CodeArts Check进行调度并执行检查任务。

9.6 代码安全检查增强包

对于安全性要求较高的项目，CodeArts Check提供了代码安全检查增强包。购买了该增强包后，Java、C++、Go和Python语言可以使用安全度更高的缺陷扫描规则，能够发现更深层次的安全漏洞。

10. 常见问题与解答

问1：CodeArts Check支持哪些编程语言？
答：CodeArts Check支持多种主流编程语言，包括Java、C/C++、Python、Go、JavaScript、TypeScript、C#等。不同语言对应的规则集各有不同，您可以在创建任务时根据代码仓库的实际语言进行选择。

问2：如何接入托管在GitHub上的私有代码仓库？
答：通过服务扩展点（Endpoint）功能可以接入通用Git代码仓库，包括GitHub、GitLab、Gitee等平台。需要配置仓库的HTTPS地址以及有效的用户名和密码或Access Token。

问3：代码检查任务执行失败怎么办？
答：首先检查代码仓库地址和认证信息是否正确，确保服务扩展点配置无误。其次确认代码仓库中是否存在对应分支的代码。如果问题仍然存在，可以查看任务执行日志获取详细错误信息，或参考华为云官方文档中的故障排查指南。

问4：如何将代码检查集成到Jenkins流水线中？
答：可以通过调用CodeArts Check的REST API实现集成。在Jenkins Pipeline中编写脚本，依次调用创建任务、执行检查和查询结果的API即可。华为云也提供了相关的最佳实践文档供参考。

问5：预置规则集不能满足需求怎么办？
答：可以创建自定义规则集。在规则集页面单击“新建规则集”，通过直接新建、复制或继承的方式组合所需的检查规则。需要注意的是，自定义规则集仅支持单语言配置，且使用自定义规则扫描有一定的时间和代码行数限制。

问6：代码检查会对代码仓库造成影响吗？
答：不会。CodeArts Check仅对代码进行只读扫描，不会修改代码仓库中的任何内容。检查结果以报告形式呈现，开发人员根据报告手动修复代码中的问题。