SonarQube未检测到Java代码中的双重检查锁定问题（S2168）

我来帮你分析下为什么SonarQube默认的Sonar Way规则集包含S2168，却没检测到你的双重检查锁定代码问题。结合我遇到过的类似场景，主要有几个可能的原因和排查方向：

1. SonarQube的S2168规则只针对不安全的双重检查锁定 #

Sonar的S2168规则核心是检测没有用volatile修饰单例实例的DCL写法——因为在Java 5之前，没有volatile的DCL会因为指令重排序导致线程安全问题；而Java 5及以后，volatile修复了内存语义，这种加了volatile的DCL是线程安全的，Sonar不会将其标记为问题。

先检查你的instance变量定义：

• 如果你的代码是这样（没有volatile）：

  private static ESSingletonClient instance; // 无volatile修饰
  

  那Sonar应该触发S2168，这时候要排查其他因素；
• 如果你的代码加了volatile：

  private static volatile ESSingletonClient instance;
  

  这属于安全的DCL，Sonar的S2168规则不会触发，而Fortify可能对DCL的检测逻辑更宽泛，即使安全也会标记为潜在问题。

2. 项目级规则覆盖了默认的Sonar Way配置 #

虽然你用的是默认Sonar Way规则集，但有可能在项目层面手动关闭了S2168规则：

• 登录SonarQube，进入你的项目 → 质量配置 → 搜索规则S2168；
• 确认规则的状态是激活，没有被设置为“关闭”或“警告”（如果是警告级别，可能你没注意到）。

3. SonarQube版本或扫描范围的问题 #

• 版本差异：不同版本的SonarQube对S2168的检测逻辑可能有调整，比如旧版本（如7.x及更早）的检测范围可能更窄，或者存在bug导致漏检；建议升级到较新的稳定版本再测试。
• 扫描范围排除：检查你的SonarQube扫描配置，确认包含了ESSingletonClient所在的包/类，没有被sonar.exclusions等配置排除在外。如果类没被扫描到，自然不会触发任何规则。

4. 代码结构的细微差异 #

Sonar的S2168规则可能只针对静态单例实例的DCL写法：

• 确认你的instance是static变量（单例模式的标准写法），如果是实例变量，Sonar的规则可能不会触发，因为这种场景的DCL意义不大，也不属于规则覆盖的范围。

总结排查步骤 #

1. 优先检查instance是否加了volatile修饰符；
2. 验证SonarQube项目中S2168规则的激活状态；
3. 确认目标类在Sonar的扫描范围内；
4. 尝试升级SonarQube版本后重新扫描。

内容的提问来源于stack exchange，提问作者Adam L