1. 环境准备：搭建SonarQube的前置条件

在Windows上部署SonarQube之前，我们需要先搞定几个关键依赖。就像装修房子得先通水电一样，这些基础组件缺一不可。我去年在团队服务器上部署时，就因为没有仔细检查环境版本，结果折腾了大半天才发现是JDK版本不兼容。

JDK版本选择是第一个坑点。官方明确要求SonarQube 10.x需要JDK 17，但很多开发者（包括我）习惯性安装了JDK 8或11。你可以通过命令行验证当前版本：

java -version

如果显示低于17，需要到Oracle官网下载新版。安装时建议选择默认路径，避免后续环境变量配置麻烦。实测JDK 17.0.8与SonarQube 10.2.1兼容性最佳。

内存配置经常被忽略。SonarQube服务启动后至少会占用2GB内存，所以建议开发机至少有8GB可用内存。我有次在4GB内存的虚拟机上运行，启动脚本直接报错退出。可以通过修改conf/wrapper.conf中的内存参数来调整：

wrapper.java.additional.1=-Xmx2048m
wrapper.java.additional.2=-Xms1024m

数据库选择上，内嵌的H2数据库仅适合测试。生产环境建议使用PostgreSQL 12+或Microsoft SQL Server 2019。这里有个小技巧：如果只是本地测试，可以先用H2快速验证，等需要团队共享时再迁移到正式数据库。

2. 安装与配置SonarQube服务端

下载SonarQube时官网会提供社区版和企业版，个人开发者选社区版完全够用。我对比过9.9和10.2两个版本，新版的C#和Python规则库更完善。解压时要注意路径不要有中文或空格，否则可能导致服务启动异常。

启动服务看似简单，但有几个隐藏细节：

1. 不要直接双击StartSonar.bat，而是用管理员身份运行CMD后执行
2. 首次启动时会解压规则库，这个过程可能持续3-5分钟
3. 看到"SonarQube is up"日志才表示启动成功

常见启动失败的情况我遇到过三种：

• 端口冲突：9000端口被占用时，修改conf/sonar.properties中的sonar.web.port
• 权限不足：日志文件写入失败时，给logs目录添加Users组的写权限
• Java堆溢出：在conf/wrapper.conf中增加内存参数

登录Web界面(http://localhost:9000)后，建议立即做三件事：

1. 修改admin默认密码
2. 安装中文包插件(Administration → Marketplace搜索"Chinese")
3. 创建项目令牌(My Account → Security)

3. Sonar-Scanner客户端部署技巧

Sonar-Scanner的配置比服务端简单，但环境变量设置是个技术活。我推荐将解压后的bin目录（例如E:\sonar-scanner\bin）添加到系统PATH，而不是完整路径。这样后续升级版本时只需替换文件夹，不用重新配置。

验证安装成功有个快速方法：

sonar-scanner --version

如果报错"不是内部命令"，检查PATH是否包含引号（Windows的经典坑）。

实际扫描项目时，需要在项目根目录创建sonar-project.properties文件。以Java项目为例：

sonar.projectKey=my_java_app
sonar.projectName=My Java Application
sonar.projectVersion=1.0
sonar.sources=src
sonar.java.binaries=target/classes
sonar.sourceEncoding=UTF-8

我习惯用命令行参数覆盖配置文件设置，这样更灵活：

sonar-scanner -Dsonar.projectKey=my_app -Dsonar.login=生成的令牌

4. 典型问题排查与优化建议

bat闪退是最常见的问题，我总结出四步排查法：

1. 在CMD中手动执行bat文件查看具体报错
2. 检查logs/sonar.log中的错误堆栈
3. 确认JAVA_HOME指向JDK不是JRE
4. 尝试用start /B StartSonar.bat后台运行

对于扫描结果不准确的情况，可以：

• 更新规则库（Administration → Marketplace → Updates）
• 排除测试代码（配置sonar.tests和sonar.test.inclusions）
• 调整规则严重度（Quality Profiles → 选择语言 → 激活规则）

性能优化方面，建议：

• 关闭不需要的语言分析（修改conf/sonar.properties）
• 定期清理历史数据（Administration → Projects → Management）
• 使用Docker版本来隔离资源（适合团队环境）

最后提醒一个安全事项：千万不要把SonarQube直接暴露在公网，去年就有团队因为没改默认密码导致代码泄露。可以用Nginx做反向代理，加上Basic Auth认证。