静态扫描接进流水线，别只靠人眼抓低级问题

空指针、未用变量、资源没关这类问题人眼容易漏，交给扫描器。

选一种主打工具接进流水线，在合并请求阶段跑，别等发版才查。

先只卡新增代码，存量问题先记录后治理，否则一次报几百条没人看。

规则集别开最严档，逐步收紧，把误报压到可接受再提高门槛。

# GitHub Actions：跑 CodeQL 分析
- uses: github/codeql-action/analyze@v3

# 只检查本次改动的文件
git diff --name-only origin/main...HEAD -- '*.js' | xargs -r npx eslint

# SonarQube：质量门禁不通过即失败
sonar-scanner -Dsonar.qualitygate.wait=true