SonarQube 分析运行器

解决的问题

在 CI 流程中做 SonarQube 静态分析时，开发者常面临两种场景：一是需要通过 Web API 触发扫描并获取结果，二是要直接使用 sonar-scanner CLI 进行本地或流水线分析。两者结合时，参数传递、质量门禁配置、分支分析设置容易出错，导致流水线失败或结果不准确。此外，不同项目对 Java 版本、构建工具的要求差异大，手动拼接命令繁琐且易遗漏关键依赖。

核心能力

该技能围绕 SonarQube 分析流程提供以下能力：

• API 与 CLI 协同：通过 SonarQube Web API 触发扫描任务，同时利用 sonar-scanner CLI 执行本地或持续集成环境下的分析操作。
• 多维度代码检测：支持检测代码异味、潜在 bug 及安全漏洞，覆盖代码质量与安全的基础审查维度。
• 可配置质量门禁：允许定义质量门禁规则，当扫描结果不符合阈值时可及时反馈，保障代码质量底线。
• 分支分析支持：适配分支级别的分析场景，帮助开发者关注特定分支的代码质量变化。

适用边界与注意点

使用时需注意以下限制：

• 环境依赖：构建项目需 Java 17 和 npm，Native Git 必须在 PATH 中可用，缺少任一依赖会导致分析流程中断。
• 构建顺序：若涉及 Web UI 变更，需先克隆 sonarqube-webapp 仓库完成本地构建，再通过 WEBAPP_BUILD_PATH 环境变量构建 SonarQube 主仓库，顺序错误会导致构建失败。
• 测试跳过策略：可通过在 Gradle 命令中添加 -x test 临时禁用测试，但仅适用于快速构建场景，长期跳过可能忽略潜在问题。