为何SonarQube中问题更多的项目Quality Gate仍通过？

我正在SonarQube Community Edition结合Jenkins流水线分析两个项目，遇到质量门（Quality Gate）状态异常的问题。两个项目的问题数量汇总如下：

项目A：

• Bugs：83
• Vulnerabilities：3
• Security Hotspots：9
• Code Smells：2.6k

项目B：

• Bugs：4
• Vulnerabilities：0
• Security Hotspots：1
• Code Smells：2.6k

尽管项目A的问题数量远多于项目B，但项目A的质量门显示通过，项目B却失败，与预期不符。

问题解答 #

1. 不同质量门和质量配置文件是否是状态差异的原因？ #

是的，这就是导致状态差异的关键原因。
质量门是SonarQube判断项目分析是否通过的核心规则集合，每个项目可绑定不同的质量门：

• 项目A的质量门大概率设置了更宽松的阈值，比如允许存在更多Bugs、漏洞，或者未将部分问题类型纳入失败判定条件；
• 项目B的质量门则可能设定了严格阈值，比如要求Bugs数量必须小于4，或者对Code Smells的新增数量、严重级别有硬性限制（比如不允许出现新增的Critical级Code Smells）。

质量配置文件决定了扫描时启用哪些规则来发现问题，但最终触发质量门失败的是质量门的阈值条件——哪怕项目B的问题总数少，只要触碰了其绑定质量门的失败规则，就会导致质量门不通过。

2. 能否自定义质量门或质量配置文件，让项目即使有较多问题也能通过？ #

当然可以，具体操作方式如下：

调整质量门（Quality Gate）

1. 登录SonarQube后台，进入Quality Gates页面；
2. 可以复制现有质量门（比如默认的Sonar way），再修改阈值条件：
   • 将Bugs、Vulnerabilities、Code Smells等指标的失败阈值调高（比如把Bugs的失败阈值从0改为100）；
   • 移除一些严格的判定条件，比如取消“不允许存在新增漏洞”的规则；
3. 将修改后的质量门绑定到目标项目即可。

调整质量配置文件（Quality Profile）

如果想减少扫描出的问题数量，也可以调整质量配置文件：

1. 进入Quality Profiles页面，选择对应开发语言的配置文件；
2. 禁用部分非必要的严格规则（比如某些不影响核心质量的Code Smells规则），这样扫描时就不会再报告这类问题；
3. 将修改后的配置文件设为项目的默认扫描配置文件。

注意：调整规则时要结合项目实际需求，避免过度宽松导致代码质量失控。

内容的提问来源于stack exchange，提问作者Geo Joseph