SonarQube配置：如何在VSTS中实现GitHub Pull Requests分析

结合你使用的SonarQube 6.7.1和SonarQube MSBuild工具v4.0，咱们一步步搞定这个问题，分成PR预览分析的核心配置、VSTS集成流程，以及常见排查点三个部分：

一、先搞定SonarQube GitHub PR预览分析的基础配置 #

首先得确保SonarQube服务器本身支持PR分析，这是很多人容易忽略的点：

• 安装GitHub插件并配置集成：在SonarQube服务器的「Administration > Marketplace」里，找到适配6.7.1版本的GitHub插件（建议选1.5.x系列，和6.7.1 LTS兼容），安装后重启服务器。接着在「Administration > Configuration > GitHub」里，填入有repo权限的GitHub OAuth令牌，公共GitHub不用改API URL，GitHub Enterprise的话要填对应地址。
• 本地命令行的正确参数：你本地运行sonar-scanner时，要确保PR相关参数完整且正确，比如：

  sonar-scanner 
    -Dsonar.projectKey=你的项目Key（要和SonarQube里一致）
    -Dsonar.projectName=你的项目名
    -Dsonar.sources=.
    -Dsonar.host.url=你的SonarQube服务器地址
    -Dsonar.login=你的SonarQube令牌（要有执行分析权限）
    -Dsonar.pullrequest.key=你的PR编号
    -Dsonar.pullrequest.base=目标分支名（比如main）
    -Dsonar.pullrequest.head=PR的源分支名
    -Dsonar.pullrequest.github.repository=你的GitHub仓库完整路径（比如owner/repo）
  

• 为什么本地没检测到已知问题？：SonarQube的PR预览分析只关注PR与目标分支的差异代码——如果已知问题在目标分支已经存在，SonarQube不会在PR里重复报告，只会标记PR新增的问题。你可以故意在PR里加一段有问题的代码（比如未使用的变量），再运行命令行测试，应该就能看到评论了。

二、和VSTS（Azure DevOps）的集成步骤 #

你已经安装了SonarQube VSTS插件，接下来要把PR触发的构建和SonarQube分析绑定：

1. 配置SonarQube服务连接：在VSTS项目的「Project Settings > Service Connections」里，新建SonarQube服务连接，填入你的SonarQube服务器地址和有权限的令牌，保存。
2. 调整Pipeline步骤：针对GitHub PR触发的构建，你的Pipeline应该包含这四个核心步骤：
   • SonarQube Prepare：
     • 选择刚才配置的SonarQube服务端点。
     • 勾选「Enable Pull Request Analysis」选项。
     • 填写PR参数：
       • Pull Request Key：用VSTS内置变量 $(System.PullRequest.PullRequestId)（PR触发构建时这个变量会自动填充编号）。
       • Pull Request Base：用 $($(System.PullRequest.TargetBranch).Replace('refs/heads/', ''))（去掉refs/heads/前缀，得到纯分支名）。
       • Pull Request Head：用 $($(System.PullRequest.SourceBranch).Replace('refs/heads/', ''))。
       • GitHub Repository：填入你的GitHub仓库完整路径（比如owner/repo）。
     • 同时填写项目Key、名称等基础信息，确保和SonarQube里的项目一致。
   • 运行MSBuild构建：执行你的常规构建命令，比如 msbuild /t:Rebuild /p:Configuration=Release，SonarQube会在这一步收集代码分析数据。
   • SonarQube Analyze：触发SonarQube的分析逻辑，把数据传到服务器。
   • SonarQube Publish：可选，但建议加上，确保分析结果能在SonarQube服务器上看到。
3. 确认PR触发器配置：在Pipeline的「Triggers」选项卡中，勾选「Pull request validation」，并选择要监控的GitHub分支，这样PR创建或更新时会自动触发带SonarQube分析的构建。
4. 权限检查：
   • VSTS的SonarQube服务令牌需要在SonarQube服务器上拥有「Execute Analysis」和「Create Issues」权限。
   • SonarQube里的GitHub OAuth令牌必须有repo权限，这样才能在PR上添加评论。

三、常见问题排查 #

如果配置后还是没效果，先看构建日志找线索：

• 检查SonarQube Prepare步骤的日志，确认System.PullRequest系列变量是否有值——如果没有，说明构建不是由PR触发的，或者触发器配置有误。
• 查看SonarQube Analyze步骤的日志，有没有连接GitHub失败、权限不足、参数错误等报错信息。
• 确保VSTS里使用的SonarQube MSBuild工具版本和你本地一致（v4.0），不同版本的参数逻辑可能有差异。
• 确认SonarQube服务器的GitHub插件版本和6.7.1兼容，过高版本的插件可能会导致PR分析失效。

内容的提问来源于stack exchange，提问作者Rob Stevenson-Leggett