如何基于SonarQube为MVC .NET Core项目中DevExtreme相关cshtml文件自定义转义校验规则

• 开发环境为Visual Studio 2019，项目为基于.NET Core的MVC架构项目，引入了DevExtreme组件库
• 项目内多个cshtml文件包含DevExtreme组件与配套模板，DevExtreme ASP.NET MVC控件的模板支持ERB风格语法，可使用的语法构造包括：
  • <% code %>：用于执行内嵌代码
  • <%= value %>：用于原样输出值
  • <%- value %>：用于输出经HTML转义后的值

• 此前代码中仅使用<%= value %>无转义输出写法，渗透测试发现多处注入风险，目前已要求统一改用支持HTML转义的<%- value %>进行值输出
• 团队日常使用SonarQube开展代码质量管控，需要自定义校验规则，在开发者未使用正确的HTML转义语法时触发告警

• SonarQube原生不支持针对cshtml文件与内嵌C#代码创建自定义规则
• 调研基于Roslyn Analyzer编写分析逻辑并将结果同步至SonarQube的方案时，发现这类分析器无法对cshtml文件触发校验逻辑
• 实际使用中观察到：SonarQube能够对cshtml文件中编写的匿名JavaScript函数抛出告警，但团队不清楚这类告警的生成来源
• 目前尚未找到可行实现路径，无法编写自定义规则完成对cshtml文件的覆盖校验

内容的提问来源于stack exchange，提问作者syc