Jenkins+SonarQube扫描.NET项目触发非法反射访问警告问题

我之前也碰到过一模一样的情况——本地直接跑Sonar分析顺顺利利，结果放到Jenkins pipeline里就弹出一堆cglib的非法反射警告。下面给你拆解问题根源和几个可行的解决办法：

问题本质 #

这个警告核心是Java版本兼容性冲突：SonarQube的部分依赖（比如cglib）用到了Java 9及以上版本已经限制的反射API，而你的Jenkins运行环境用的是Java 11+，触发了JVM的安全限制。本地能正常运行，大概率是因为你本地的Java版本是8，而Java 8没有这种严格的反射访问限制。

解决方案（按优先级排序） #

1. 给Sonar MSBuild添加Java参数抑制警告 #

直接在Jenkins的Sonar分析命令里加JVM参数，允许cglib访问那些被限制的反射包，就能把警告压下去。

修改你的SonarScanner.MSBuild执行命令，追加这个参数：
/d:sonar.java.additionalOpts="--add-opens java.base/java.lang=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED"

举个实际使用的命令例子：

SonarScanner.MSBuild.exe begin /k:"your-project-key" /d:sonar.host.url="http://your-sonarqube-address" /d:sonar.login="your-auth-token" /d:sonar.java.additionalOpts="--add-opens java.base/java.lang=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED"

这个参数是明确告诉JVM，允许cglib访问指定的受限包，不会再弹出警告。

2. 统一Jenkins与本地的Java版本 #

如果你本地用的是Java 8，可以把Jenkins的运行JDK切换成Java 8：

• 打开Jenkins的「全局工具配置」，添加Java 8的安装路径
• 在你的Jenkins任务配置里，指定使用Java 8作为运行环境
  Java 8没有反射访问的严格限制，自然不会触发这个警告。不过要先确认你的SonarQube版本兼容Java 8（新版本SonarQube可能不再支持Java 8）。

3. 升级SonarQube及相关插件 #

这个警告很多时候是SonarQube旧版本的依赖兼容性bug，升级到最新版的SonarQube，同时更新所有.NET相关的分析插件，官方大概率已经修复了cglib的反射兼容问题。

额外提醒 #

这个警告本身一般不会影响Sonar的分析结果，只是JVM的安全提示。如果对警告不敏感，也可以选择忽略它。

内容的提问来源于stack exchange，提问作者Peter K.