能否使用SonarQube对Gradle脚本执行静态分析？

可以使用SonarQube对Gradle脚本（包含Groovy DSL格式的.gradle文件和Kotlin DSL格式的.gradle.kts文件）进行静态分析，具体实现方案如下：

前置要求 #

• SonarQube服务端需安装对应语言的支持插件：Groovy DSL脚本依赖Sonar Groovy插件，Kotlin DSL脚本依赖Sonar Kotlin插件。SonarQube 8.9 LTS及以上官方版本已默认预装这两个插件，无需额外安装；更低版本可在SonarQube内置插件市场手动启用对应插件。

操作步骤 #

1. 在项目根目录的gradle.properties文件中配置基础连接参数，参考配置如下：

sonar.projectKey=自定义项目唯一标识
sonar.host.url=你的SonarQube服务访问地址
sonar.token=你的SonarQube账户生成的分析令牌

如果需要指定扫描的Gradle脚本范围，可额外添加参数：

sonar.sources=./build.gradle,./settings.gradle,./gradle/

2. 执行分析命令：
   • macOS/Linux环境运行 ./gradlew sonar
   • Windows环境运行 gradlew.bat sonar
3. 命令执行完成后，进入SonarQube对应项目面板即可查看分析结果，覆盖Gradle脚本的代码异味、安全漏洞、废弃API调用、依赖配置不规范等问题，附带对应的修复建议。

补充说明 #

• 多模块Gradle项目无需额外配置子模块的构建脚本路径，官方分析插件会自动递归扫描所有子模块的Gradle脚本文件
• 你可以在SonarQube的规则配置页面，自定义调整Gradle相关分析规则的启用状态、严重级别，也可以新增自定义规则匹配团队内部的构建脚本规范
• 配合3.0及以上版本的sonar-jacoco插件使用，可同时获取Gradle脚本自身的单元测试覆盖率数据（如果存在对应测试用例）。

内容的提问来源于stack exchange，提问作者Hwan E