要在 intellij idea 2026 中用好 qodana，需手动接入基线、配置覆盖率门禁、启用实时污点分析；安装插件后确保 jdk 17+ 和 kotlin 版本一致，首次扫描生成 baseline.xml 并提交 git，通过 qodana.yaml 设置覆盖率阈值，对接 qodana cloud 上传报告查看趋势。
要在 IntelliJ IDEA 2026 中真正用好 Qodana 做代码质量管控，不能只靠默认配置点一下就完事——得手动接入项目基线、配置覆盖率门禁、让污点分析在写代码时就报警，否则扫描结果全是历史债务，新代码照样带病上线。
本地启用 Qodana 安全分析插件
打开 IntelliJ IDEA 2026.1 → Settings / Preferences → Plugins → 搜索框输入 Qodana Security → 点击右侧 Install 并重启 IDE。
安装后无需额外激活，但必须确保当前项目已配置 JDK 17+，否则污点分析引擎无法加载数据流图；若项目使用 Kotlin，需确认 Project SDK 和 Kotlin Compiler 版本一致，否则路径遍历检测会漏报。
重启后，在任意 Java/Kotlin 文件中输入 request.getParameter("id") 并将其拼入 SQL 字符串，IDE 会立即在行尾标出 SQL injection vulnerability 警告——这是跨过程数据流分析实时生效的标志。
首次运行 Qodana 扫描并生成基线
方法一：通过 IDE 内置入口快速启动
点击菜单栏 Analyze → Run Inspection by Name… → 输入 Qodana → 选择 Run Qodana Scan → 在弹窗中勾选 Include test sources 和 Enable baseline generation → 点击 OK。
方法二：命令行触发（推荐用于 CI 同步）
打开终端 → 进入项目根目录 → 执行：qodana --baseline --save-report。这一步会生成 qodana/baseline.xml 文件，它将本次扫描发现的所有问题全部“冻结”为基线，后续仅报告新增问题。
【基线文件必须提交到 Git 仓库】，否则团队成员各自生成的基线不一致，CI 流水线会误判问题为“新增”而阻断构建。
配置代码覆盖率门禁
第一步：在项目根目录创建 qodana.yaml 配置文件
第二步：粘贴以下内容并保存：
coverage: threshold: 75 new_code_threshold: 90fail_on_violation: true
第三步：回到 IDEA → Settings / Preferences → Tools → Qodana → 勾选 Enable coverage threshold check → 点击 Apply。
此时只要新提交的代码行覆盖率低于 90%，或整体覆盖率跌破 75%，Qodana 扫描就会返回非零退出码，CI 流水线自动失败；注意该阈值仅对 src/main 下新增/修改的 Java/Kotlin 文件生效，测试类不参与计算。
对接 Qodana Cloud 查看趋势报告
访问 qodana.jetbrains.com → 使用 JetBrains 账号登录 → 点击 + New Project → 选择对应 GitHub/GitLab 仓库 → 授权 Qodana App 安装 → 复制生成的 PROJECT_TOKEN。
在项目根目录的 .gitignore 中确认已排除 qodana/ 目录，避免基线文件被意外提交；然后打开终端执行：qodana --project-token <your_token> --upload</your_token>。
上传成功后，Qodana Cloud 会自动解析历史扫描记录，生成「问题趋势图」「技术债务热力图」「贡献者覆盖率分布」三类视图，下次扫描结果将直接叠加在已有时间轴上。
