SonarSource/sonar-dotnet

说明与用途

**项目简介**
SonarSource/sonar-dotnet 是 SonarSource 官方维护的开源代码分析器，专门用于检测 C# 与 VB.NET 项目中的代码质量、漏洞、代码异味和安全问题。它可以在本地 IDE、CI/CD 流水线以及 SonarQube/SonarCloud 中运行，为团队提供统一、可追溯的质量报告。

**价值**

• **提升代码质量**：提供超过 400 条规则，覆盖安全（OWASP、CWE）、可靠性、可维护性和性能等维度。
• **统一治理**：与 SonarQube/SonarCloud 深度集成，所有项目统一使用同一套质量门槛，便于在组织内部推行“质量门”。
• **降低风险**：自动发现潜在的安全漏洞和性能瓶颈，帮助团队在提交代码前就把问题拦截下来，减少后期修复成本。

**典型接入方式**
| 场景 | 接入步骤 | 关键配置 |
|------|----------|----------|
| **本地开发** | 在 IDE（如 Visual Studio、VS Code）中安装 SonarLint 插件，绑定到本地 SonarQube 项目或使用默认规则集。 | sonarlint.ruleset（可选） |
| **CI/CD** | 在构建脚本中加入 dotnet-sonarscanner（.NET Core）或 MSBuild.SonarQube.Runner（.NET Framework）步骤，完成 **Prepare → Build → End** 三阶段。 | sonar.projectKey、sonar.host.url、sonar.login |
| **SonarQube/SonarCloud** | 将项目关联到 SonarQube 实例，开启质量阈值（Quality Gate），并在 Pull Request 中自动触发分析。 | Quality Gate、Quality Profile、Branch/PR 分析配置 |

**生产可用性**

• **活跃度**：截至 2026‑06‑23 最近一次提交，拥有 909 ⭐、242 🍴，社区活跃，官方持续发布新规则和 bug 修复。
• **成熟度**：已在大量企业级 .NET 项目中使用，配合 SonarQube 的企业版可实现完整的治理流水线。
• **集成成本**：虽然基本步骤简单，但需要配置 SonarQube 服务器或使用 SonarCloud，并在 CI 中添加 scanner 步骤。建议先在一个小模块做 PoC，验证规则集与质量门的适配度后，再推广至全仓库。

**结论**：凭借强大的规则库、与 Sonar 平台的深度集成以及活跃的维护社区，sonar‑dotnet 完全具备在生产环境中作为代码质量与安全检测核心工具的条件，只要做好前期的规则调优和 CI 集成工作，即可投入正式使用。

实际用途

SonarSource/sonar-dotnet may be useful when its README and activity match a concrete workflow.

限制与审查说明

High for an OSS candidate: recent activity, adoption, and ecosystem signals are strong enough for a serious pilot.