4.3 质量左移：SonarQube 代码扫描与单元测试集成
1. 引言：什么是“质量左移”？
在传统的瀑布流开发中，测试（QA）是在编码完成之后才进行的。
流程：需求 -> 设计 -> 编码 ->测试-> 发布。
如果 QA 发现了一个重大 Bug，必须打回给开发重修。这个修复成本是巨大的（可能是几周前的代码）。
质量左移（Shift Left）的核心思想是：把质量检查尽可能提前。
最好在开发人员写代码的时候（IDE 插件），或者提交代码的一瞬间（CI 流水线），就发现问题。
本节我们将集成两大神器：
- SonarQube：静态代码分析工具（查 Bug、查漏洞、查代码异味）。
- Unit Test：单元测试框架（JUnit/GoTest）。
2. SonarQube：代码的“X光机”
2.1 核心指标解析
当你打开 SonarQube 的 Dashboard，会被那一堆数字搞晕。只需关注这 4 个核心指标：
- Bugs (缺陷)：代码逻辑错误，可能会导致空指针、内存泄漏。必须修！
- Vulnerabilities (漏洞)：安全风险，如 SQL 注入、硬编码密码。必须修！
- Code Smells (异味)：代码写得烂，难以维护。比如一个函数写了 500 行，或者复制粘贴了大量重复代码。
- Duplications (重复率)：重复造轮子是万恶之源。一般要求低于 5%。
2.2 质量门禁 (Quality Gate)
SonarQube 最强大的功能是Quality Gate。
你可以定义一套规则：
- 新代码覆盖率 < 80% ->失败
- 新代码严重 Bug 数 > 0 ->失败
- 安全评级低于 A ->失败
如果 CI 流水线触发了 Sonar 扫描，且未通过门禁，流水线应该直接中断，禁止部署。这才是“守门员”的职责。
3. 实战一：在 CI 中集成 SonarQube (GitHub Actions)
假设我们有一个 Maven 项目。
3.1 准备工作
- 搭建 SonarQube Server（或使用 SonarCloud）。
- 生成一个 Token。
- 在 GitHub 仓库 Secrets 中配置
SONAR_TOKEN和SONAR_HOST_URL。
3.2 编写 Workflow
使用官方的 SonarScanner。
name:Buildon:push:branches:-mainpull_request:types:[opened,synchronize,reopened]jobs:
