SonarQube ≥9.9 版本已移除原生 Go 支持，必须通过 sonar-go 插件 + golangci-lint（≥1.54，SARIF 输出）配合实现静态分析，sonar-scanner 仅负责上传报告与覆盖率，且需严格匹配路径、排除测试代码、分模块处理以避免“File not found”等问题。
SonarQube 本身不原生支持 Go 的静态分析，直接接入会失败——它默认只识别 sonar.language=go（已废弃）或依赖第三方插件，而官方自 9.9 版本起彻底移除了对 Go 的内置支持。必须改用 SonarQube 官方推荐的替代路径：通过 sonar-go 插件 + golangci-lint 作为前端分析器，再将结果导入 SonarQube。
为什么不能直接用 sonar-scanner 扫 Go 代码
新版 SonarQube（≥9.9）已删除 Go 语言处理器，sonar.language 参数被标记为 deprecated，强制设为 go 会导致扫描失败并报错：Unsupported language: go。即使降级到旧版，其内置分析能力极弱（仅基础语法检查，无 bug 检测、无 cyclomatic complexity 计算），无法满足微服务场景下的质量门禁要求。
- 官方明确建议：Go 项目应使用
sonar-go插件（非内置，需手动安装）配合外部 linter -
sonar-scanner只负责上传，真正分析必须由golangci-lint等工具提前完成 - 微服务多模块结构（如
api/,service/,pkg/）需显式指定分析范围，否则sonar.exclusions易漏配导致误报
配置 golangci-lint 生成 SARIF 并对接 sonar-go
sonar-go 插件不直接运行分析，而是解析 golangci-lint 输出的 SARIF 格式报告。必须确保 golangci-lint 版本 ≥1.54（SARIF 支持稳定），且启用至少一个能检测 bug 的 linter（如 errcheck, gosec）。
- 在项目根目录运行：
golangci-lint run --out-format=sarif --issues-exit-code=0 -o report.sarif -
--issues-exit-code=0很关键：避免 CI 因警告中断，但 SonarQube 仍能摄入所有问题 - 若用 Go modules，需先
go mod download，否则gosec等 linter 会因缺失依赖跳过分析 - 微服务中常见错误：未设置
GOCACHE=/tmp/.gocache，导致 CI 构建时golangci-lint缓存失效、耗时激增
sonar-project.properties 关键参数避坑
Go 项目没有 sonar.sources 自动推导，必须精确声明路径，且与 golangci-lint 实际扫描路径一致，否则 SonarQube 显示 “0 files indexed”。
立即学习“go语言免费学习笔记（深入）”；
-
sonar.sources=.不安全 —— 会包含vendor/,bin/，应改为：sonar.sources=api,service,pkg -
sonar.exclusions=**/*_test.go,**/mocks/**,**/testdata/**必须显式排除测试和模拟代码，否则覆盖率统计失真 -
sonar.go.tests.reportPath不用于 Go（无原生测试覆盖率支持），覆盖率需用go test -coverprofile生成cov.out，再转成 lcov 格式上传 - 若微服务使用 Docker 构建，
sonar.host.url必须指向 SonarQube 可达地址（如http://sonarqube:9000），不能写localhost
CI 流程中如何稳定触发质量门禁
SonarQube 的 Quality Gate 判断依赖两个输入：SARIF 报告（来自 golangci-lint）和覆盖率（来自 go test）。两者缺一不可，且必须在同一 sonar-scanner 命令中提交。
- 先生成覆盖率：
go test ./... -coverprofile=coverage.out -covermode=count - 转格式：
go tool cover -func=coverage.out | grep "total:" | awk '{print $3}' | sed 's/%//' > coverage.txt（仅数值），再用脚本转 lcov - 最终命令：
sonar-scanner -Dsonar.projectKey=my-microservice -Dsonar.sarifReportPath=report.sarif -Dsonar.coverageReportPaths=coverage.lcov - 容易被忽略的点：微服务多个
go.mod子模块需分别扫描，或统一用replace指向本地路径，否则golangci-lint无法解析跨模块引用
真正卡住团队的往往不是配置步骤，而是 SARIF 文件里 physicalLocation 的 artifactLocation 路径与 SonarQube 实际上传的源码路径不匹配——这会导致所有问题显示为 “File not found”。调试时直接打开 report.sarif，检查 artifacts[0].location.uri 是否为相对路径（如 api/handler.go），而非绝对路径（如 /home/ci/project/api/handler.go）。
