sonarqube可自动化检测java项目中的空指针、重复代码、安全漏洞和高圈复杂度方法；需项目含pom.xml或build.gradle，java版本≥1.8，成功编译，并配置sonar-project.properties后执行sonar-scanner或mvn sonar:sonar完成扫描。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
想在开发早期就揪出Java项目里的空指针、重复代码、安全漏洞和高圈复杂度方法，又不想手动翻每一行源码——Fitten Code本身不提供静态分析能力，必须配合SonarQube这类专业平台才能落地真实质量管控。
确认Fitten Code项目是否具备SonarQube接入前提
打开项目根目录，检查是否存在pom.xml或build.gradle文件。【没有构建配置文件的项目无法通过标准插件触发SonarQube扫描】
若使用Maven，确保pom.xml中已声明Java编译版本不低于1.8，且sourceDirectory指向实际源码路径（如src/main/java）；否则SonarQube会跳过Java文件分析，只报“0行代码被扫描”。
运行mvn clean compile验证能成功编译。编译失败会导致SonarQube后续步骤中断，且错误日志里不会明确提示“因编译失败跳过分析”，容易误判为配置问题。
本地部署SonarQube服务
方法一：Docker一键启动（推荐）
执行docker run -d --name sonarqube -p 9000:9000 -p 9092:9092 sonarqube:lts-community，等待容器状态变为healthy后访问http://localhost:9000。
首次登录用默认账号admin/admin，登录后立即修改密码，否则后续所有扫描请求会被拒绝——SonarQube 9.9+版本强制要求密码变更后才允许API调用。
方法二：手动解压安装
下载SonarQube社区版压缩包（必须选lts或latest分支，旧版7.x对Java 17支持不全），解压后进入bin/<system>/sonar.sh start</system>启动服务。
启动后检查logs/sonar.log末尾是否有Web server is started字样，没有则说明端口被占用或JVM内存不足（默认需2GB，可在conf/sonar.properties中调大sonar.web.javaOpts）。
配置并执行扫描
第一步：在项目根目录创建sonar-project.properties
内容至少包含以下三项：
sonar.projectKey=fitten-code-core（必须唯一，不能含下划线以外的特殊字符）
sonar.sources=src/main/java（路径必须与实际一致，多模块项目需写成module-a/src/main/java,module-b/src/main/java）
sonar.host.url=http://localhost:9000（若SonarQube部署在远程服务器，此处填对应IP和端口）
第二步：确保当前目录下有可执行的sonar-scanner命令
从官网下载对应系统的Scanner CLI，解压后将bin目录加入系统PATH；或者直接用Maven插件替代：mvn sonar:sonar -Dsonar.host.url=http://localhost:9000。
第三步：执行扫描
终端进入项目根目录，运行sonar-scanner（或上述Maven命令）。扫描过程通常耗时30秒到5分钟，取决于代码量和规则集规模。终端出现ANALYSIS SUCCESSFUL且末尾显示Analysis report uploaded即表示完成。
查看分析结果并定位问题
刷新http://localhost:9000，在Projects列表中点击刚扫描的项目名称。
首页顶部指标栏会显示Bug数、漏洞数、代码异味数、覆盖率、重复率五项核心数据——其中Code Smells占比最高往往意味着重构优先级最高，比如一个类里同时存在3个超过80行的方法和5处重复逻辑块。
点击左侧菜单Issues，默认按严重程度降序排列。点开任意一条，右侧会高亮显示问题代码行，并给出修复建议（例如“Consider using try-with-resources”对应资源未关闭问题）。
关键操作：在Issue详情页右上角点击Mark as false positive仅适用于确认是误报的情况；【误标为false positive会导致该问题永久从质量门禁中消失，且无法恢复】。
