SonarQube自定义规则：禁止调用特定静态方法的方案咨询

嘿，这个需求很常见！我来给你理清楚两种方式的可行性：

一、SonarQube UI能不能实现？ #

答案是不行。SonarQube的UI规则配置功能，主要是用来调整已有内置规则的参数（比如修改代码复杂度阈值、开启/关闭某条规则），或者给规则打标签、配置质量门。但它没办法让你自定义“检测第三方特定静态方法调用”这种针对性的逻辑——毕竟这类需求太个性化，UI不可能提供这么细粒度的自定义匹配能力。

二、正确的实现方式：编写自定义Java规则 #

你需要基于SonarQube的自定义规则框架来开发专属规则，核心是实现对目标方法调用的识别逻辑。简单来说，步骤大概是这样：

• 创建一个Java项目，引入SonarQube的Java规则开发相关依赖
• 编写一个检查类，继承org.sonar.plugins.java.api.JavaCheck
• 重写visitMethodInvocation方法，在这个方法里判断当前调用的方法是不是你要检测的第三方静态方法：

  @Override
  public void visitMethodInvocation(MethodInvocationTree methodInvocation) {
    // 获取调用的方法所属类的全限定名
    String className = methodInvocation.symbol().owner().fullyQualifiedName();
    // 获取调用的方法名
    String methodName = methodInvocation.symbol().name();
    
    // 替换成你要检测的第三方类和方法
    if ("com.example.thirdparty.RiskyClass".equals(className) && "forbiddenStaticMethod".equals(methodName)) {
      // 报告违规提示
      reportIssue(methodInvocation, "禁止调用第三方库的forbiddenStaticMethod静态方法");
    }
    
    super.visitMethodInvocation(methodInvocation);
  }
  

• 把项目打包成JAR包，部署到SonarQube服务器的extensions/plugins目录下，重启服务器
• 最后在你的SonarQube项目规则配置里，启用这条自定义规则就行

这样一来，当代码里出现指定的第三方静态方法调用时，SonarQube就会触发违规提示啦。

内容的提问来源于stack exchange，提问作者rcomblen