官网：https://www.sonarsource.com/
SonarQube 是一个开源的、用于持续检测代码质量的自动化平台。你可以把它想象成一位 “自动化的代码质检员” ，7x24 小时不间断地检查你的代码，并生成详细的质检报告。
它的核心目标是通过静态代码分析，快速、准确地定位代码中的：
Bug： 潜在的逻辑错误，可能导致程序崩溃。
漏洞： 安全弱点，可能被恶意利用。
代码异味： 结构或风格上的问题，不会立即导致错误，但会降低代码的可读性、可维护性和可扩展性。
重复代码： 重复的代码块，违反了“不要重复自己”的原则。
最终，它旨在帮助开发团队系统地提升代码质量，降低技术债务。
SonarQube 系统主要由四个部分组成：
SonarQube Server： 这是核心大脑，负责：
处理分析报告并存储到数据库。
提供 Web 界面，供开发者查看分析结果、管理质量阈和质量门。
配置扫描规则等。
SonarQube Database： 用于存储 SonarQube 的配置和代码分析结果。支持多种数据库，如 PostgreSQL, Oracle, MS SQLServer 等。
Scanner（分析器）： 这是放在 CI/CD 服务器（如 Jenkins, GitLab CI）或开发者本地机器上的客户端工具。它的职责是：
扫描项目源代码。
运行分析（如调用单元测试、计算代码覆盖率）。
将分析报告发送给 SonarQube Server。
插件： 用于扩展 SonarQube 的功能，例如支持更多的编程语言（Java, C#, JavaScript, Python, Go 等）、集成外部工具（如 LDAP、GitHub 认证）等。
一个典型的 SonarQube 工作流程如下：
开发人员提交代码： 开发者在本地完成代码编写，并将其推送到代码仓库（如 Git）。
CI/CD 触发扫描： CI/CD 工具（如 Jenkins）被代码推送事件触发，开始构建流程。
Scanner 执行分析： 在构建过程中，Sonar Scanner 被调用。它会：
从代码仓库拉取最新代码。
编译代码（如果需要）。
运行测试并计算测试覆盖率。
对代码进行静态分析。
发送报告： Scanner 将分析结果打包成报告，上传到 SonarQube Server。
Server 处理与展示： SonarQube Server 处理报告，将数据存入数据库，并在 Web 界面上更新项目的“仪表盘”。
团队查看与修复： 开发团队在 Web 界面上查看发现的问题，根据严重程度（阻断、严重、主要、次要、提示）进行修复。
质量阈： 这是你为代码质量设定的“及格线”。例如：“新代码的单元测试覆盖率不能低于80%”、“不能有新的严重级别以上的Bug”。
质量门： 这是基于质量阈的自动化检查点。它通常被设置在 CI/CD 流程的关键节点（如合并请求或发布前）。如果代码分析结果不满足质量阈的要求，质量门会失败，CI/CD 流程会中断，从而阻止劣质代码进入下一阶段。
技术债务： SonarQube 会量化修复所有已发现问题所需的时间（以天、小时为单位），让技术债务变得可见和可管理。
热点： 专门针对安全漏洞的一个分类。安全热点指那些可能存在安全风险的代码模式，需要人工审查确认它是否真的构成漏洞。这与直接标记为“漏洞”的问题不同。
泄漏期： 这是一个非常重要的概念，它只关注“新代码”（例如，从新建一个分支开始到现在）引入的问题。这有助于团队专注于增量代码的质量，而不是被庞大的历史遗留问题淹没。
早期发现问题： 在代码合并到主干前或发布前发现问题，修复代价最小。
统一代码规范： 为整个团队提供统一的代码质量标准和检查工具。
提升可维护性： 通过消除代码异味和重复代码，使代码更清晰、易于维护。
提高开发者技能： 开发者通过不断修复 SonarQube 发现的问题，可以学习到更好的编码实践。
与 DevOps 无缝集成： 完美融入 CI/CD 流程，实现质量内建，是 DevSecOps 的关键一环。
这是一个常见的困惑点：
| 特性 | SonarQube | SonarLint |
|---|---|---|
定位 |
服务器端/集中式 代码质量平台 |
开发者本地IDE插件（如 VS Code, IntelliJ IDEA） |
使用场景 |
集成到 CI/CD，用于整个团队和项目的质量管控 |
开发者在编写代码时实时检测问题，相当于“在保存时”进行检查 |
数据 |
拥有中央数据库，存储所有历史数据和项目质量全景 |
通常只在本地运行，使用内置规则（可连接 SonarQube 服务器同步规则） |
目标 |
项目质量管控、团队协作、质量门禁 |
个人开发效率，在提交前快速修复问题 |
简单来说：先用 SonarLint 在本地写好代码，再用 SonarQube 在服务器端保证合并的代码质量。 两者可以连接，实现规则同步。
SonarQube 是现代软件工程中不可或缺的工具，它将代码质量从一种主观感受变成了可度量、可监控、可管理的客观指标。通过将 SonarQube 集成到开发流程中，团队可以有效地持续改进代码健康度，最终交付更可靠、更安全、更易维护的软件产品。
