必须连接sonarqube服务器才能启用全部600+条java规则；仅安装插件默认仅激活不足10条规则，无法检测资源未关闭、硬编码密码等关键漏洞。
要在IntelliJ IDEA中真正用起来SonarLint做代码质量检查，光装插件远远不够——默认只启用不到10条Java规则，空指针警告能亮，但资源未关闭、硬编码密码、线程不安全写法全被忽略，提交前根本拦不住关键漏洞。
安装SonarLint插件并启用基础扫描
打开IntelliJ IDEA → File → Settings（macOS为IntelliJ IDEA → Preferences）→ Plugins → Marketplace → 搜索“SonarLint” → 点击Install → 重启IDE。
重启后右下角状态栏会出现SonarLint图标，但此时仅激活极少量本地规则；若未看到图标，说明插件未生效，需检查是否跳过重启步骤。
这一步操作起来很简单，直接点几下就完事，但别急着扫代码——现在扫等于白扫。
配置Connected Mode连接SonarQube服务器
必须连接SonarQube或SonarCloud才能启用全部600+条Java规则，包括公司定制的安全规则和质量门禁。
Settings → Tools → SonarLint → Connected Mode → 点击“+” → 填写Configuration Name（如：company-sonar）→ Connection Type选SonarQube → Server URL填http://your-sonarqube-server:9000（注意：必须是HTTP协议，HTTPS需额外配置证书）→ Authentication Type选Token → 在SonarQube网页端【Account → Security → Generate Tokens】创建个人Token（【严禁使用管理员全局Token，会导致项目列表为空且无报错提示】）→ 粘贴Token → 点击Next测试连接。
连接成功后，右下角状态栏会显示“Connected to SonarQube”，这才是真正可用的起点。
绑定当前项目到SonarQube具体工程
第一步：确保SonarQube上已存在对应项目（通过Maven/Gradle扫描或手动创建）。
第二步：在IDEA中右键项目根目录 → SonarLint → Bind to SonarQube → 弹窗中Connection选择刚配好的server → Project Key输入框里必须逐字符核对，与SonarQube网页端该项目设置页显示的Project Key完全一致（区分大小写、含连字符或下划线）→ 点击OK。
第三步：绑定完成后，等待右下角出现“Bound to project: your-project-key”提示，此时规则才开始同步下载。
第四步：打开任意Java文件，等待3～5秒，编辑器左侧将出现带颜色标记的波浪线——红色=CRITICAL漏洞，黄色=MAJOR代码异味，灰色=INFO提示。鼠标悬停即可查看规则名、问题描述和修复建议。
触发全量扫描与提交前拦截
方法一：右键项目根目录 → Analyze → Analyze with SonarLint → 等待扫描完成，结果自动在SonarLint工具窗口中展开，按Severity分级折叠显示。
方法二：提交代码前勾选Commit对话框中的“Perform SonarLint analysis” → 若检测到BLOCKER或CRITICAL级别问题，提交会被强制中断，并高亮显示问题行。
方法三：启用自动扫描 → Settings → Tools → SonarLint → General Settings → 勾选“Automatically trigger analysis” → 保存后，每次保存.java文件即实时分析（对大型项目可能轻微卡顿，可酌情关闭）。
