SonarQube 是什么：概念介绍
一、SonarQube 是什么：概念介绍
SonarQube 是一个持续代码质量管理平台。它把静态分析的结果沉淀成一个长期的、可比较的质量视图：代码里有多少潜在缺陷、多少安全漏洞、多少可维护性问题、测试覆盖率是多少、重复代码占比多少。它不只告诉你「这一行有问题」，更告诉你「这个项目这一个月的技术债是在减少还是增加」。
它解决的核心问题是质量不可度量。代码评审靠人眼看，标准随人而异；而 SonarQube 把标准落成可执行的规则集与门禁条件——合并请求进来，流水线跑一次分析，门禁不过就合不进去。标准从「我觉得」变成「系统判定」。
与相邻方案的分工：Semgrep 强在自写规则的表达力与跨语言快速接入，适合做提交级的增量安全门禁，但它不做覆盖率统计，也没有历史趋势与团队看板；CodeQL 强在深度数据流分析，但需要建库、学习成本高；ESLint、Checkstyle、Pylint 这类是单语言的风格与缺陷检查，运行在本地或构建阶段，没有统一的服务端聚合；SonarLint 是 SonarQube 的 IDE 插件，能在编辑器里实时提示同一套规则的问题，属于「左移」的那一环。实践中常见的组合是：SonarLint 在本地、SonarQube 在流水线做统一度量与门禁、Semgrep 补上自定义的安全规则。
版本能力差异：社区版、开发者版、企业版在分支分析、合并请求装饰（PR 上直接评论问题）、多语言覆盖、安全规则深度上存在差异——分支分析与 PR 装饰通常属于商业版能力，社区版以主干分析为主，具体以官方文档为准。选型时要先确认自己需要的能力落在哪个版本里。
| 术语 | 含义 |
|---|---|
| Quality Gate（质量门禁） | 一组通过条件，全满足才算「通过」，通常挂在流水线上做阻断 |
| Quality Profile（质量配置） | 某个语言下激活了哪些规则、各自什么参数 |
| New Code（新代码） | 门禁的作用对象，可定义为「相对上个版本」「最近 N 天」或「某个基线之后」 |
| Technical Debt（技术债） | 把可维护性问题折算成修复所需时间，是「欠了多少工」的度量 |
| Reliability / Security / Maintainability Rating | 可靠性、安全性、可维护性三个维度的等级评定 |
| Coverage（覆盖率） | 单元测试覆盖的代码比例，需由外部工具生成报告后导入 |
| Duplications（重复率） | 重复代码块占比 |
| Scanner（扫描器） | 跑在代码侧的分析程序，负责把结果推给服务端 |
红线前置：SonarQube 只能扫描自有代码库或你已获书面授权的代码。扫描结果会暴露未修复漏洞的具体位置与修复思路，属敏感材料，不要外发或在公开渠道讨论。若代码来自合作方或客户，先确认授权范围与结果归属。
