SonarQube 下载：开源的代码质量检查平台，安装教程

代码写完能跑不算完，上线前总得有人盯着质量：有没有明显的 bug、有没有安全漏洞、坏味道多不多。靠人肉 code review 靠不住，SonarQube 就是干这个的：自动扫代码，把问题按严重程度摆出来，还能卡住质量门禁。这篇讲讲 SonarQube 怎么下载安装、有什么亮点、值不值得用。

SonarQube 有什么功能亮点

覆盖面很广，Java、Python、JavaScript、Go、C# 等 30 多种语言都认，前端后端项目一把抓。扫描结果按三类分：Bug 对应可靠性问题，漏洞对应安全问题，坏味道对应可维护性，每一类都能直接钻到具体代码行看详情。质量门禁（Quality Gate）是核心玩法：覆盖率达到多少、新增代码不能出多少问题，指标不过就拦下，跟 Jenkins、GitHub Actions、GitLab CI 接上之后，每次提交自动扫描，烂代码想混进主干都难。覆盖率和重复率也一块统计，想偷懒少写测试，门禁第一个不同意。

SonarQube 安装教程（跑起来）

先用 Docker 体验一把：docker run -d --name sonarqube -e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true -p 9000:9000 sonarqube:latest，浏览器开 http://localhost:9000，默认账号 admin/admin。生产环境别这么干，官方推荐 Docker Compose 起 SonarQube 加 PostgreSQL，配置里把 SONAR_JDBC_URL 指到数据库再映射 9000 端口。跑起来之后建一个项目，选项目语言，拿一个 Token，然后本地装扫描器 sonar-scanner 对着项目目录跑一遍，结果就进 Web UI 了。跟 CI 集成时把扫描这步塞进流水线，配合质量门禁自动拦截。

SonarQube 怎么下载

官网：sonarsource.com/products/sonarqube；Docker 镜像：Docker Hub 搜 sonarqube（社区版拉 sonarqube:community）；Windows、Linux 也可以下 ZIP 包直接装。扫描器 sonar-scanner 在官网下载页可以单独拿。

值不值得用

我的看法：代码质量这事，靠自觉不如靠门禁，SonarQube 是社区里用得最多的方案，社区版对中小团队完全够用，成熟度和文档都没得挑。缺点直说：一是吃内存，默认就要 2G 以上，低配服务器别想；二是第一次配扫描器和 CI 集成要花点时间；三是默认规则偏严，误报得花人力处理。但把质量门禁挂到流水线上之后，问题在发布前就被拦住了，这笔投入我觉得值。

来源：黑帽工具网（/QQ号：25496334），转载请保留出处和链接！

本文链接：https://www.seozhaopin.com/ruanjianjieshao/13021.html