Jenkins对GitHub多模块项目用SpotBugs做全模块静态分析的咨询

是否需要合并所有子模块的SpotBugs报告？ #

不需要强制合并。如果仅需要Jenkins能识别全模块的漏洞结果，直接配置报告路径通配符即可实现。如果需要输出单份全量报告归档或二次处理，才需要合并操作。

合并报告的实现方式 #

有两种常用实现方案：

方案1：Maven插件原生聚合（推荐，无需额外工具）

在父工程pom.xml中添加SpotBugs插件的聚合配置：

<plugin>
  <groupId>com.github.spotbugs</groupId>
  <artifactId>spotbugs-maven-plugin</artifactId>
  <version>4.8.3.1</version>
  <configuration>
    <!-- 开启多模块聚合 -->
    <aggregate>true</aggregate>
    <xmlOutput>true</xmlOutput>
    <!-- 合并后的报告输出到父工程target目录 -->
    <xmlOutputName>${project.build.directory}/spotbugs-aggregate.xml</xmlOutputName>
  </configuration>
</plugin>

配置完成后执行命令 mvn spotbugs:aggregate，插件会自动收集所有子模块的分析结果，生成合并后的全量报告。

方案2：Jenkins构建阶段脚本合并

如果不想修改项目pom文件，可以在Jenkins构建步骤中增加shell脚本完成合并，需提前在Jenkins agent中安装xmlstarlet工具：

# 初始化合并报告的根结构
echo '<?xml version="1.0" encoding="UTF-8"?><BugCollection version="4.8.3" sequence="0">' > ${WORKSPACE}/target/spotbugs-aggregate.xml
# 遍历所有子模块的SpotBugs报告，提取漏洞节点追加到合并文件
find ${WORKSPACE} -path "*/target/spotbugxml.xml" -exec xmlstarlet sel -t -c '/BugCollection/BugInstance' {} \; >> ${WORKSPACE}/target/spotbugs-aggregate.xml
# 闭合XML根标签
echo '</BugCollection>' >> ${WORKSPACE}/target/spotbugs-aggregate.xml

全模块SpotBugs静态分析的其他解决方案 #

不需要合并报告的前提下，也可以实现全模块结果的统一识别，两种常用方案：

方案1：Jenkins SpotBugs插件通配符路径配置（最简方案） #

直接在Jenkins Job的SpotBugs报告路径配置项中填写通配符路径 **/target/spotbugxml.xml，插件会自动扫描所有子模块target目录下的报告，自动汇总所有漏洞结果展示，无需修改项目代码或增加额外构建步骤。

方案2：Pipeline全流程配置 #

如果使用Jenkins Pipeline，可以直接在分析阶段完成全模块扫描和结果收集，示例片段：

stage('SpotBugs 全模块静态分析') {
  steps {
    // 自动触发所有子模块的SpotBugs分析
    sh 'mvn spotbugs:spotbugs'
  }
  post {
    always {
      // 通配符匹配所有子模块报告，自动汇总结果
      spotbugs pattern: '**/target/spotbugxml.xml', unstableTotalAll: 10
    }
  }
}

这个方案可以直接和构建流程绑定，无需额外配置。

内容的提问来源于stack exchange，提问作者devendra patidar