看到 SonarQube 把问题标成 Critical，通常意味着它不只是代码风格瑕疵，而是可能直接带来安全风险、数据错误或系统稳定性问题。理解这一级别时，重点不是背规则编号，而是知道它在提醒哪类高风险场景。
安全输入没有被正确约束
常见例子包括 SQL 注入、命令注入、路径遍历和不安全反序列化。这类问题一旦被利用，后果通常不是小 bug，而是数据泄露、越权访问甚至远程执行。
资源和状态处理可能导致系统异常
比如关键异常被吞掉、连接和流没有正确释放、并发访问共享状态却缺少保护，这些都可能在压力场景下引发服务崩溃或数据不一致。
认证、加密和敏感信息处理不当
硬编码密钥、使用过时算法、关闭证书校验、把敏感日志直接打印出来，也常被归为高严重度问题，因为它们会直接削弱系统的安全边界。
处理建议要结合业务上下文
不是所有 Critical 都能机械修复，但这一级别通常应该优先进入修复列表。至少要确认它是否真实可触达、影响链路多大，以及是否需要短期缓解措施。
结论
SonarQube 的 Critical 问题，通常集中在安全漏洞、资源状态失控和敏感信息处理不当这几类场景，优先级明显高于普通代码味道。
正文完
