4.3 质量左移：SonarQube 代码扫描与单元测试集成

4.3 质量左移：SonarQube 代码扫描与单元测试集成

1. 引言：什么是“质量左移”？

在传统的瀑布流开发中，测试（QA）是在编码完成之后才进行的。
流程：需求 -> 设计 -> 编码 ->测试-> 发布。
如果 QA 发现了一个重大 Bug，必须打回给开发重修。这个修复成本是巨大的（可能是几周前的代码）。

质量左移（Shift Left）的核心思想是：把质量检查尽可能提前。
最好在开发人员写代码的时候（IDE 插件），或者提交代码的一瞬间（CI 流水线），就发现问题。

本节我们将集成两大神器：

1. SonarQube：静态代码分析工具（查 Bug、查漏洞、查代码异味）。
2. Unit Test：单元测试框架（JUnit/GoTest）。

---

2. SonarQube：代码的“X光机”

2.1 核心指标解析

当你打开 SonarQube 的 Dashboard，会被那一堆数字搞晕。只需关注这 4 个核心指标：

1. Bugs (缺陷)：代码逻辑错误，可能会导致空指针、内存泄漏。必须修！
2. Vulnerabilities (漏洞)：安全风险，如 SQL 注入、硬编码密码。必须修！
3. Code Smells (异味)：代码写得烂，难以维护。比如一个函数写了 500 行，或者复制粘贴了大量重复代码。
4. Duplications (重复率)：重复造轮子是万恶之源。一般要求低于 5%。

2.2 质量门禁 (Quality Gate)

SonarQube 最强大的功能是Quality Gate。
你可以定义一套规则：

• 新代码覆盖率 < 80% ->失败
• 新代码严重 Bug 数 > 0 ->失败
• 安全评级低于 A ->失败

如果 CI 流水线触发了 Sonar 扫描，且未通过门禁，流水线应该直接中断，禁止部署。这才是“守门员”的职责。

---

3. 实战一：在 CI 中集成 SonarQube (GitHub Actions)

假设我们有一个 Maven 项目。

3.1 准备工作

1. 搭建 SonarQube Server（或使用 SonarCloud）。
2. 生成一个 Token。
3. 在 GitHub 仓库 Secrets 中配置SONAR_TOKEN和SONAR_HOST_URL。

3.2 编写 Workflow

使用官方的 SonarScanner。

name:Buildon:push:branches:-mainpull_request:types:[opened,synchronize,reopened]jobs: