静态分析工具

测试验证 运行时行为；静态分析 在不执行程序的情况下扫描源码，发现空指针风险、资源泄漏、风格违规、重复块。它是 cq-style 与 cq-smells 的自动化延伸。

学习目标

platform 已用 ESLint；backend 可逐步引入 SpotBugs 或 Sonar。不要一次开满规则，先 baseline 再收紧。

Sonar 不能替代 testing-essentials 的断言；也不能理解业务逻辑错误。

本地：IDE 插件即时提示
PR：  只报告「新代码」问题（避免 legacy 洪水）
主干：Weekly 趋势，定 1 条债务偿还 OKR

与 git-essentials 保护分支配合：Quality Gate 不绿不 merge。Spring 项目注意 Lombok 与 SpotBugs 的已知误报，需在配置中排除或升级规则集，参考 spring-boot-essentials 构建插件文档。

AI 改大量文件时，静态分析 diff 是 第二道筛，见 ai-coding-essentials。