SonarLint需关闭HTTPS限制才能安装，必须重启IDEA才启用实时检测，未绑定SonarQube时仅运行基础规则，右键分析与编辑器高亮引擎不同，真正落地需Quality Gate强制拦截。
能直接装，不用改配置、不依赖外部服务，装完重启就能用——但想真正管住团队代码质量，光装插件远远不够。
IDEA里搜不到SonarLint？先关掉「HTTPS only」限制
很多人点开 Settings → Plugins 搜索 “sonar” 无结果，不是网络慢，也不是插件下架了，而是 IDEA 默认启用了「仅 HTTPS 插件仓库」策略，而 JetBrains 插件市场某些 CDN 节点在部分网络环境下会触发证书校验失败。
解决方法很简单：
- 进入
Settings → Appearance & Behavior → System Settings → Updates - 取消勾选
Use secure connection (HTTPS) only - 回到 Plugins 页面，点击右上角刷新按钮，再搜
SonarLint就能立刻看到
这个开关不影响安全性，只是让 IDEA 允许通过 HTTP 回退到备用插件源——官方文档也明确说明这是离线/受限网络下的推荐做法。
装完不重启？SonarLint 的实时检测根本不会启动
插件安装界面显示「Restart IDE」是强制提示，不是建议。不重启会出现两种典型现象：
- 编辑器里写 Java 代码，没有红色波浪线标出
String.equals(null)这类空指针风险 - 右键菜单里找不到
Analyze with SonarLint选项
原因在于 SonarLint 的语言服务器（sonarlint-core）是在 IDEA 启动阶段加载的，动态热插拔不支持。哪怕你手动触发 File → Synchronize 或清缓存，也无法补救——必须完整重启。
使用3×3×10框架生成90+个个性化Instagram内容创意，用AI编辑器精选最佳创意，并将获胜者扩展为可操作的简洁内容。
绑定 SonarQube 服务器前，默认规则集其实很弱
刚装完的 SonarLint 默认只启用本地规则（Community Edition 规则集），它能捕获基础问题，比如：
-
LocalDate.now()被误写成new Date() - 未关闭的
InputStream - 硬编码字符串（
"UTF-8"）没提取为常量
但它不会检查：
- 公司自定义的命名规范（如 service 类必须以
Service结尾） - 禁止使用
System.out.println的日志管控规则 - 模块间循环依赖（需要 SonarQube 的跨文件索引能力）
要启用这些，必须在 Settings → Tools → SonarLint → Configure server connections 里填入 SonarQube 地址 + token，并把项目绑定到对应 project key。否则，你看到的永远只是“半截规则”。
analyze with sonarlint 右键分析 vs 编辑器实时高亮，行为完全不同
很多人以为右键执行 Analyze with SonarLint 是“加强版扫描”，其实它是离线全量分析，和编辑器里实时高亮走的是两套引擎：
- 实时高亮：只跑轻量级规则（
quickfix级别），响应快，但漏检率高；依赖当前文件上下文，看不到跨类调用链 - 右键分析：触发完整 AST 解析 + 控制流分析，能发现
if嵌套过深、重复代码块、单元测试覆盖率缺口等，但耗时明显（大项目可能 10–30 秒）
关键细节：Analyze with SonarLint 不会自动刷新右侧的 Problems 工具窗口，得手动点窗口右上角的刷新按钮，或者切换到其他文件再切回来——这点容易被忽略，导致以为“没扫出来”。
真正难的不是装插件，而是让规则落地：比如某条“禁止 catch Exception”的规则，开发人员点了「Suppress」就跳过，时间一长，整个项目里全是 catch (Exception e)。这时候就得靠 SonarQube 的 Quality Gate 强制拦截 MR，而不是靠 IDEA 里的一个波浪线。
