不能直接用golangci-lint默认输出喂给SonarQube，因其官方Go插件仅解析自有语法树，完全无视JSON等原生格式；必须通过--out-format=checkstyle生成checkstyle XML报告，并用-Dsonar.go.lintReportPaths=lint-report.xml显式指定路径，且路径须为项目根目录下的相对路径，否则问题无法定位到源码行。
不能直接用 golangci-lint 输出喂给 SonarQube 默认 Go 插件——它压根不认；必须转成 SonarQube 能解析的格式，再显式指定路径。
为什么 golangci-lint 的默认输出在 SonarQube 里不显示
SonarQube 官方 Go 插件（sonar-go）只解析自己定义的语法树节点，对 golangci-lint 的 JSON、JSON Lines 或 stdout 输出完全无视。即使你把 golangci-lint 命令塞进 sonar-scanner 的 script 里跑一遍，也不会有任何 issue 上报到 UI。
真正起作用的是：让 golangci-lint 输出 checkstyle 格式（SonarQube 原生支持），再通过 -Dsonar.go.lintReportPaths=... 显式告诉扫描器去读这个文件。
-
golangci-lint默认不启用checkstyle输出，需手动加--out-format=checkstyle - 输出路径必须是绝对路径或相对于项目根目录的稳定路径（CI 中推荐写成
lint-report.xml这类固定名） -
sonar-go插件 v1.7+ 才完整支持checkstyle，旧版会静默忽略
怎么生成 SonarQube 可识别的 checkstyle 报告
执行这行命令即可生成合规报告：
立即学习“go语言免费学习笔记（深入）”；
golangci-lint run --out-format=checkstyle --issues-exit-code=0 -o lint-report.xml
关键点说明：
-
--issues-exit-code=0防止有 warning 就导致 CI 失败（SonarQube 会自己判断严重性） -
-o lint-report.xml指定输出为 XML 文件，不是 stdout；文件名必须和后续配置项一致 - 确保
.golangci.yml中启用的 linter（如errcheck、staticcheck）是你真正在意的问题类型 - 别用
--fix，SonarQube 不需要自动修复，只关心“这里有问题”
CI 中怎么把报告传给 SonarQube
在 .gitlab-ci.yml 或 Jenkinsfile 里调用 sonar-scanner 时，必须显式传入参数：
sonar-scanner \ -Dsonar.host.url=http://sonarqube.example.com:9000 \ -Dsonar.token=$SONAR_TOKEN \ -Dsonar.projectKey=my-go-service \ -Dsonar.sources=. \ -Dsonar.exclusions=**/vendor/**,**/testutil/** \ -Dsonar.go.lintReportPaths=lint-report.xml
注意几个易错点：
-
sonar.go.lintReportPaths是单数形式，不是...Paths复数（文档常写错，实际只认单数） - 路径是相对于
sonar-project.properties所在目录，不是sonar-scanner当前工作目录 - 如果用了多模块项目，每个模块得单独生成报告，并用逗号分隔路径：
-Dsonar.go.lintReportPaths=mod1/lint.xml,mod2/lint.xml - 不要同时设
sonar.go.file.suffixes，它会干扰源码定位，让问题无法跳转到具体行
为什么扫出来的问题在 MR 里不显示或定位不准
最常见原因是路径映射断裂：SonarQube 解析 checkstyle 里的 <file name="pkg/auth/auth.go"></file> 时，会按项目根目录拼出完整路径。一旦 golangci-lint 在子目录下运行，或用了 --path-prefix，就可能对不上。
稳妥做法：
- 所有扫描命令都在项目根目录执行（
cd $CI_PROJECT_DIR） - 禁用
golangci-lint的--path-prefix参数 - 检查生成的
lint-report.xml中name属性是否为相对路径（如internal/handler/user.go），而非绝对路径或带./前缀 - 若用 Go Module，确保
go list -m输出的 module 名与sonar.projectKey逻辑一致，否则部分 context 相关问题（如context.WithTimeout泄漏）可能被误判为“不在主模块”而过滤
路径对不上，问题就变成“unknown file”，MR 评论里只会显示“1 issue found”，点不开、跳不了、修不了——这是最隐蔽也最常被忽略的一环。
