构建C#应用上报SonarQube看板：本地正常但生产无报错、看板无数据且不生成output-cs

生产环境扫描结果为空的常见参数遗漏 #

• 核对sonar.host.url的参数值有效性：SonarQube的host地址参数对格式校验非常严格，末尾多带斜杠、遗漏上下文部署路径、http/https协议和实际服务不匹配时，扫描器不会抛出直接报错，但上报的结果会因为路由错误无法关联到目标项目。如果生产环境的SonarQube是带自定义上下文路径部署的，必须把完整带路径的地址作为参数值传入，不能只填域名根地址。
• 确认认证token的权限范围：生产环境使用的认证token必须绑定到对应项目的“执行分析”角色，持有全局分析权限的token如果没关联到目标项目，扫描结果会被后台权限校验静默拦截，控制台全程不会出现报错提示，最终看板也看不到对应条目。不要复用本地开发环境的token直接对接生产，生产环境单独生成的项目级token必须提前在项目权限页完成授权配置。
• 检查项目key的匹配精度：SonarQube的项目key是大小写敏感的，只要参数里配置的key和看板实际存在的key存在一个字符的差异，扫描器会自动创建一个孤立的临时项目存放结果，原目标项目的看板自然不会显示任何分析内容。切生产环境时不要直接复制本地的项目key，必须从生产SonarQube的项目设置页复制准确的key值。

生产环境未生成output-cs文件夹的原因与修复 #

output-cs是SonarScanner for .NET在构建阶段注入Roslyn分析器时自动生成的缓存目录，未生成该目录本质是扫描器和MSBuild的注入链路没打通，和扫描执行环境强相关：

• 保证MSBuild版本和本地跑通的版本完全一致：生产服务器如果安装的是精简版.NET SDK自带的dotnet build命令、或是不同版本的Visual Studio Build Tools，SonarScanner在begin阶段修改MSBuild全局属性的操作会因为版本不兼容失效，重建阶段不会自动加载Roslyn分析器，自然不会生成对应的缓存目录。不要用系统PATH里优先级最高的默认dotnet命令替代本地跑通时使用的完整路径MSBuild.exe，避免版本差异导致注入失败。
• 确认扫描执行账号的目录权限：生产环境通常通过服务账号执行扫描流程（比如Jenkins内置服务账号、IIS应用池账号），如果该账号对代码存放根目录没有写入权限，SonarScanner在begin阶段就无法创建临时分析缓存目录，对应的权限不足报错会被MSBuild的错误捕获机制吞掉，控制台只会显示构建成功。不要将代码放在系统受保护的路径下，提前给执行账号配置代码目录的完全读写权限。
• 避免MSBuild缓存配置导致的注入失效：生产服务器如果提前开启了MSBuild节点复用、或是Directory.Build.props里配置了增量构建缓存，会覆盖SonarScanner注入的分析器参数，重建阶段不会触发全量代码扫描，也就不会生成output-cs缓存目录。可以在MSBuild执行命令中加上/nodeReuse:False参数，强制每次构建启动全新的编译节点，避免旧编译进程残留的配置干扰分析器加载。

生产环境修正后的参考执行命令：

SonarScanner.MSBuild.exe begin /k:"生产环境准确项目key" /d:sonar.host.url="生产Sonar完整访问地址" /d:sonar.login="项目授权的认证token"
MSBuild.exe <path to solution.sln> /t:Rebuild /nodeReuse:False
SonarScanner.MSBuild.exe end /d:sonar.login="项目授权的认证token"

内容的提问来源于stack exchange，提问作者ZihamZuhair