如何将Sonarcloud扫描出的问题自动添加到GitHub仓库的Issues中

一共有两种成熟的实现路径，你可以根据自己的技术栈选择：

方案1：通过GitHub Actions实现（最适合GitHub托管仓库） #

这是目前最常用的方案，维护成本极低，不需要额外部署服务：

• 首先在你的GitHub仓库设置页添加两个密钥：
  • SONAR_TOKEN：SonarCloud生成的访问令牌，需要授予项目问题读取权限
  • GH_TOKEN：GitHub生成的访问令牌，需要授予仓库Issue创建权限
• 在仓库的.github/workflows目录下新建工作流文件，比如命名为sync-sonar-issues.yml
• 工作流可以绑定你的SonarCloud分析工作流，设置为SonarCloud分析完成后自动触发，也可以设置为推送到主分支、拉取请求更新时触发
• 工作流核心逻辑参考如下：

name: Sync SonarCloud Issues
on:
  workflow_run:
    workflows: ["你的SonarCloud分析工作流名称"]
    types:
      - completed

jobs:
  sync:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 同步问题到GitHub Issues
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          GH_TOKEN: ${{ secrets.GH_TOKEN }}
          SONAR_PROJECT_KEY: "你的SonarCloud项目唯一Key"
          GITHUB_REPO: ${{ github.repository }}
        run: |
          # 1. 调用SonarCloud API拉取本次分析新增的问题、漏洞、代码异味列表
          # 2. 遍历问题列表，通过问题唯一ID校验是否已经创建过对应Issue，避免重复
          # 3. 为每个新增问题调用GitHub API创建Issue，可统一打上sonarcloud、漏洞/代码异味等标签
          # 4. Issue内容可包含问题等级、代码位置、修复建议、SonarCloud对应详情路径

如果不想自己写脚本逻辑，也可以直接用GitHub Marketplace里已经封装好的SonarCloud Issue同步Action，直接配置参数就能用

方案2：通过SonarCloud WebHook触发同步 #

适合需要自定义更多同步逻辑的场景：

• 在SonarCloud项目的设置页新建WebHook，触发条件选择「分析完成」，回调地址可以填写GitHub的Repository Dispatch触发地址，或者你自己部署的服务接口地址
• 收到SonarCloud的分析完成回调后，拉取对应分析版本的问题列表，校验分支/提交对应关系，再创建GitHub Issue
• 这种方案的优势是只有分析完成才会触发，不会产生多余的工作流运行，资源消耗更低

注意要点 #

• 一定要做好去重逻辑，用SonarCloud问题的唯一ID作为标识，避免同一个问题重复创建Issue
• 可以根据问题等级做过滤，比如只同步严重、阻塞级别的漏洞，避免低优先级问题产生过多无效Issue
• 多分支项目要注意区分不同分支的问题，创建Issue时标注对应的分支名和提交哈希，方便定位

内容的提问来源于stack exchange，提问作者Yiğid BALABAN