如何在Azure Pull Request中直接展示SonarQube检测结果？

完全可以实现直接在Azure PR内展示漏洞、代码异味、重复代码等SonarQube详细检测结果，以下是具体实现步骤：

前提条件 #

• 已安装官方SonarQube Azure DevOps插件
• SonarQube服务器版本≥7.2（支持PR装饰功能）
• Azure DevOps项目已配置有效的SonarQube服务连接

配置步骤 #

1. 开启SonarQube的PR装饰功能 #

登录SonarQube服务器，进入Administration > Configuration > General Settings > Pull Request，确保Decorate Pull Requests选项处于启用状态。

2. 调整流水线中的SonarQube分析任务 #

在你的CI流水线中，针对SonarQubePrepare任务添加PR专属分析参数，确保SonarQube能关联到当前Azure PR：

- task: SonarQubePrepare@5
  inputs:
    SonarQube: '你的SonarQube服务连接名称'
    scannerMode: 'MSBuild'
    projectKey: '你的项目Key'
    projectName: '你的项目名称'
    extraProperties: |
      sonar.pullrequest.key=$(System.PullRequest.PullRequestId)
      sonar.pullrequest.branch=$(System.PullRequest.SourceBranch)
      sonar.pullrequest.base=$(System.PullRequest.TargetBranch)

这些环境变量仅在PR触发的流水线中自动填充，无需手动赋值。

3. 配置分支策略中的SonarQube状态检查 #

进入Azure DevOps项目的Repos > Branches，找到目标分支的分支策略设置：

• 在Status checks区域，添加SonarQube代码分析作为必填检查项（注意选择SonarQube插件提供的专属检查，而非普通流水线状态检查）
• 设置为“必须通过”以强制PR满足SonarQube质量标准

效果验证 #

提交新的Pull Request后，等待SonarQube分析完成，Azure PR的Overview标签页会直接展示：

• 漏洞、代码异味、重复代码的数量统计
• 每个问题的具体文件位置、严重程度、简短描述
• 支持直接在PR内查看问题详情，无需跳转至SonarQube门户

常见问题排查 #

• 若未显示详细结果，检查SonarQube服务连接是否拥有Azure DevOps项目的访问权限
• 确认流水线是由PR触发（手动触发的流水线无法获取System.PullRequest.*变量）
• 查看SonarQube服务器的PR装饰日志，排查是否有授权或关联失败的报错

内容的提问来源于stack exchange，提问作者Naresh Ede