必须走报告转换+显式注入路径，因SonarQube Go插件不解析golangci-lint原生输出；其Checkstyle XML需严格符合schema（相对路径、含column字段等），原始输出缺失column且含绝对路径，须用sed等工具修正；sonar-scanner必须显式指定-Dsonar.go.lintReportPaths=lint-report.xml等参数，否则静默失效。
不能直接打通，必须走报告转换+显式注入路径。SonarQube 的 Go 插件不解析 golangci-lint 原生输出，硬传 golangci-lint run 的 stdout 或 JSON 会静默失败，所有问题都不会出现在 UI 上。
为什么 golangci-lint 的 --out-format=checkstyle 不够用
SonarQube 要求的 Checkstyle XML 必须严格符合其 schema（比如 golangci-lint run --out-format=checkstyle 输出的 XML 缺少 column 字段，且 name 是绝对路径（如 /home/ci/project/internal/handler.go），SonarQube 解析时直接跳过整条记录。
实操建议：
- 用
golangci-lint run --out-format=checkstyle --issues-exit-code=0 > lint-report.xml生成原始报告 - 再用
xmllint或轻量脚本把name替换为项目根目录下的相对路径（如sed -i 's|/home/ci/project/||' lint-report.xml） - 手动补上缺失的
column="1"属性（所有 Go lint 问题列号无意义，填 1 即可） - 确保最终 XML 根节点是
sonar-scanner 启动时必须显式指定报告路径
SonarQube 不会自动发现或扫描当前目录下的 lint-report.xml，必须通过 JVM 参数传入。漏掉这步，golangci-lint 就等于没跑。
关键配置项：
-
-Dsonar.go.lintReportPaths=lint-report.xml：这是唯一被 SonarGo 插件识别的参数，写成sonar.go.lint.reportPaths或sonar.lintReportPaths全无效 -
-Dsonar.sources=.：必须显式设，否则插件找不到 Go 文件，连语法树都不建 -
-Dsonar.exclusions=**/vendor/**,**/testutil/**：不加会导致 vendor 里成千上万的 false positive，拖慢扫描且污染覆盖率统计
完整命令示例：sonar-scanner -Dsonar.go.lintReportPaths=lint-report.xml -Dsonar.sources=. -Dsonar.exclusions=**/vendor/**,**/testutil/**
CI 流水线里最容易静默失效的三个点
报错不一定出现，但数据就是不进 SonarQube——这类“假成功”最耽误排查。
-
sonar-scanner镜像没装 Go：用sonarsource/sonar-scanner-cli:4.8这类纯 Java 镜像时，go list -deps类依赖分析会跳过，但日志只打 INFO 级提示，不报错 -
SONAR_TOKEN权限不足：Token 只有“Browse”权限时，扫描能完成，但问题不会写入数据库，UI 上显示“0 issues”，实际是被拒收了 - 路径大小写不一致：本地生成报告时路径是
internal/handler.go，但sonar.sources设的是./Internal，SonarQube 匹配失败，整份报告丢弃
真正卡住的地方往往不是工具链拼接，而是路径、权限、大小写这些基础项对不齐。扫完发现没数据，先查 sonar-scanner 日志末尾有没有 “Processed X issues from golangci-lint report” 这行，没有就说明报告压根没被加载——别急着调 golangci-lint 参数，先看路径和权限。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
