sonarqube能分析html中嵌入的js等代码，但需启用web插件并配置sonar.language=web或sonar.inclusions包含*.html；默认不分析html因语言插件未激活且依赖显式配置。
SonarQube 本身不直接解析 HTML 文件的语义结构（比如 DOM 树、事件绑定、模板逻辑），但它能对 HTML 中嵌入的脚本、样式、属性值做有效静态分析——前提是配置正确、语言识别准确。如果你发现 sonar-scanner 扫描后 HTML 文件完全没被纳入，或只报了空警告，大概率不是工具不行，而是它根本没把你的 HTML 当成“要分析的源码”。
HTML 文件为什么默认不被 SonarQube 分析？
SonarQube 的扫描器（sonar-scanner）默认只启用部分语言插件，且 HTML 不像 Java 或 JavaScript 那样自带编译产物或强类型上下文。它依赖两个关键信号来决定是否处理一个文件：
- 文件后缀是否在
sonar.sources路径下且匹配已启用的语言规则集 -
sonar.language是否显式设为web（不是html，也不是留空）
常见错误是：只写 sonar.language=js，却把 .html 文件放在 sonar.sources 里——这时 sonar-scanner 会跳过所有 HTML，仅分析其中内联的 <script></script> 块（且仅当 JS 插件启用时）。
如何让 SonarQube 正确识别并分析 HTML？
必须启用 Web 语言支持，并确保扫描器加载对应插件。社区版默认包含该能力，但需手动激活：
- 启动
SonarQube服务后，登录 Web UI（http://localhost:9000），进入 Settings → General Settings → Languages，确认Web开关为开启状态 - 在项目根目录下创建
sonar-project.properties，明确指定语言：sonar.language=web - 若项目混用多种前端资源（如
.html+.js+.css），不要设sonar.language，改用sonar.sources+sonar.inclusions组合：sonar.inclusions=**/*.html,**/*.js,**/*.css - 避免使用
sonar.exclusions误删 HTML 目录，例如**/dist/**若包含构建后的 HTML，也会被一并排除
HTML 中哪些问题能被真正检测出来？
SonarQube 对 HTML 的分析聚焦于安全与可维护性，而非渲染行为。它能稳定识别以下几类问题：
-
script标签内联 JS 的潜在 XSS 风险（如未转义的innerHTML赋值） - 表单缺少
autocomplete="off"或敏感字段未标记autocomplete="new-password" -
iframe缺少sandbox属性或allow权限过于宽泛 - 使用已废弃的全局属性（如
align、border）或非标准事件名（如onclick在现代框架中应被避免） - 无障碍相关缺失：如
img缺少alt，button缺少aria-label，form缺少label
注意：sonar-web-plugin 不解析 Vue/React 模板语法（如 v-if、{} 插值），仅处理纯 HTML 结构和内联脚本。JSX 或 SFC 文件需交由对应语言插件（如 sonar-javascript-plugin）处理。
常见失败场景与绕过技巧
扫描失败往往不是因为 HTML 太“静态”，而是环境链路断在中间：
-
ERROR: Unable to load plugin web：说明SonarQube实例未安装或未启用 Web 插件。检查$SONARQUBE_HOME/extensions/plugins/下是否存在sonar-web-plugin-*.jar，重启服务 -
WARN: No files matching pattern '**/*.html' were found：路径配置错误。用ls -R | grep "\.html$"（Linux/macOS）或dir /s *.html（Windows）确认文件真实存在，再核对sonar.sources是否指向父目录而非子目录 - 扫描成功但 HTML 无报告：检查
SonarQube界面右上角项目设置 → Quality Profiles → 切换到Web类型的 profile，确认规则已启用（尤其web:NoInlineScript、web:S1134等） - 想检测 HTML 中引用的外部 JS/CSS 是否存在 404？
SonarQube不做 HTTP 请求，这类问题需靠 Lighthouse 或自定义脚本补充
真正容易被忽略的是：HTML 分析高度依赖 sonar-web-plugin 的规则版本与 SonarQube 主版本兼容性。2026 年主流用的 SonarQube 10.x 要求插件版本 ≥ 3.8；旧版插件可能直接跳过所有 <template></template> 或 <slot></slot> 标签——不是 bug，是能力边界。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
