SonarQube首次扫描时Quality Gate未按预期失败反而通过

可能的成因 #

• 无历史基线导致对比类规则失效：多数质量门规则是基于「新代码」或「与历史版本对比」的指标（比如新增漏洞数、新增代码覆盖率降幅），首次扫描没有历史数据作为基线，SonarQube会默认跳过这类需要对比的规则，不会触发质量门失败。
• 新代码定义配置不兼容首次扫描：如果SonarQube项目的「新代码定义」设为「基于分支差异」或「版本间对比」，首次扫描没有参考分支/版本，相关规则无法计算有效结果，会被判定为OK。
• Jenkins插件未等待质量门异步计算完成：首次扫描时SonarQube的分析结果处理是异步的，若Jenkins的SonarQube插件没等质量门计算完成就返回状态，会误判为通过；后续扫描因为有缓存或处理更快，能正确获取状态。

解决措施 #

• 调整质量门规则，添加绝对指标：除了新增代码相关规则，补充不依赖历史数据的绝对指标，比如「总代码覆盖率低于70%失败」「项目总漏洞数大于0失败」，确保首次扫描有可触发的失败条件。
• 修改新代码定义：在SonarQube项目设置里，把新代码定义改为「基于提交日期（如最近30天）」或「基于分支创建时间」，这样首次扫描也能识别出新代码范围，触发对应规则。
• 优化Jenkins流水线的质量门等待逻辑：确保流水线中使用waitForQualityGate步骤，并设置足够的超时时间，避免异步处理未完成导致误判。示例代码：

sonarQubeScan()
def qualityGate = waitForQualityGate(timeout: 10) // 设置10分钟超时
if (qualityGate.status != 'OK') {
    error "SonarQube Quality Gate failed: ${qualityGate.status}"
}

• 提前生成基线：先运行一次不带质量门检查的扫描，生成初始分析数据作为基线；或者在SonarQube项目设置中手动指定一个参考分支（如main分支）作为对比基线，之后的扫描就能正常触发对比类规则。

内容的提问来源于stack exchange，提问作者LahiruG