SonarQube 7.9.2升级至9.9.1后扫描结果不一致问题咨询

我们将Sonar Server从「Community Edition Version 7.9.2 (build 30863)」升级至「Community Edition Version 9.9.1 (build 69595)」，自定义及默认质量配置文件已成功迁移，但使用相同源代码与配置文件扫描时，部分旧版本通过的规则在新版本触发了BLOCKER级Bug（如规则S3796、S3827），以下是可能的原因：

• 规则检测逻辑的迭代优化
  尽管规则描述未变，但新版本对规则的实现逻辑做了精度提升：

  • 对于S3796（Callbacks of array methods should have return statements），旧版本可能仅覆盖了有限的数组方法回调场景（如仅检测map/filter），或对回调内分支逻辑的return判断存在疏漏；新版本完善了检测范围，能识别更多未正确返回的回调场景。
  • 对于S3827（Non-existent variables should not be referenced），旧版本的变量作用域解析存在漏洞，无法识别某些复杂作用域下的未定义变量引用；新版本修复了解析逻辑，能精准检测这类违规。

• 代码解析器版本升级
  SonarQube 9.9.1搭载的代码解析器（如JavaScript/TypeScript解析器）版本远高于7.9.2，对新语法、复杂语法结构的支持更完善。旧版本解析器可能误判了代码结构，导致规则未触发；新版本能正确解析代码，从而检测到违规。

• 规则严重级别的隐性变更
  即使配置文件显示迁移成功，部分规则的默认严重级别可能在新版本中被调整为BLOCKER，而旧版本中该规则的级别更低（如MAJOR）。需检查目标配置文件中这两个规则的严重级别是否与旧版本完全一致。

• 质量配置的参数差异
  部分规则存在可配置参数，新版本可能调整了参数默认值，而迁移过程中未完整保留旧版本的参数配置。例如S3796可能在旧版本允许回调为空函数或特定无return场景，新版本默认收紧了限制，导致原本通过的代码触发违规。

• 核心扫描引擎的重构
  SonarQube大版本升级中对核心扫描引擎做了重构，代码数据流、控制流的分析深度大幅提升，能识别旧版本引擎无法探测到的违规路径。

内容的提问来源于stack exchange，提问作者Tulshiram Pawde