先说一个关键结论：如果直接将 CodeBuddy 生成的代码未经审查就合并到主干，无异于蒙眼驾车——表面上可以运行，但隐藏的缺陷、风格违背甚至低效逻辑随时可能引发问题。因此，必须搭配一套可靠的静态分析工具组合。目前行业内比较成熟的方案是三重校验：先由 CodeBuddy 内置的 TCA 引擎进行安全扫描，接着用 ESLint + Prettier 把控代码风格与常见逻辑错误，最后用 SonarQube 做深层质量兜底评估。

下面来看具体实施步骤。

启用 CodeBuddy 内置 TCA 引擎扫描

这一步操作非常简便，直接在 IDE 中右键项目根目录即可触发，但效果取决于是否已经完整索引项目的依赖树和源码上下文。

1. 确保项目已执行过 【codebuddy --ide】 启动并完成首次全量索引，否则 TCA 无法将 import 与实际模块定义关联起来。

2. 右键项目根目录 → CodeBuddy → Run Security Scan → 等待扫描完成。

3. 在左侧“Security Issues”面板中逐项点击高亮问题，重点查看右侧显示的“触发示例”——它会还原漏洞的真实发生路径，而不是泛泛的规则命中提示。

有一点需要特别留意：如果扫描结果为空，并不代表代码绝对安全，可能只是 TCA 未识别出你使用的自定义 DSL 或私有框架扩展点，此时需要借助外部工具来补充检测。

用 ESLint + Prettier 做风格与逻辑双重校验

CodeBuddy 生成的 JS/TS 代码常常忽略团队约定的缩进风格、空行规则，甚至包含危险的赋值模式（例如 let a = b = {}），ESLint 能够立即发现这类问题。

有两种常用方式：

方式一：使用 CLI 快速执行一次扫描
在项目根目录运行：codebuddy-cli scan --format=checkstyle，该命令会调用当前项目已配置的 ESLint 规则集，输出结构化报告。

方式二：利用 VS Code 插件进行实时拦截
安装最新版的 ESLint 和 Prettier 插件后，在 CodeBuddy 生成代码的编辑器窗口中，错误会以波浪线形式实时标出，悬停即可看到具体规则 ID（如no-unused-vars）和修复建议。

关键前提：项目根目录必须存在 .eslintrc.js 或 eslint.config.js 配置文件，并且已启用 @typescript-eslint 或 eslint-plugin-react 等与业务相关的插件，否则默认规则过于宽松，起不到有效的审查作用。

接入 SonarQube 进行深度质量评估

SonarQube 能够检测 CodeBuddy 难以覆盖的深层问题：重复代码块、圈复杂度超标、单元测试覆盖缺口、潜在的 NPE 路径。它不相信 AI 生成的“看起来能运行”的代码，只认可可量化的质量指标。

第一步：确认 SonarQube 服务已运行且 Token 有效。
第二步：在项目根目录执行：sonar-scanner -Dsonar.login=YOUR_TOKEN -Dsonar.host.url=http://localhost:9000
第三步：打开 http://localhost:9000 → 进入对应项目 → 查看“Quality Gate”状态。如果显示失败，点击“Issues”标签页，筛选“CodeBuddy Generated”标签（需要提前在 sonar-project.properties 中配置sonar.issue.ignore.multicriteria=e1并定义匹配规则）。
第四步：对“Blocker”和“Critical”级别的问题，不要直接采纳 SonarQube 建议的修复方式——它的自动修复可能破坏 CodeBuddy 生成的业务逻辑链条，应当结合原始 prompt 重新提出需求，让 CodeBuddy 在约束条件下重写相关代码。

总结一下：TCA 负责安全扫描，ESLint + Prettier 把住代码风格底线，SonarQube 盯住深层质量。这三步走完整后，AI 生成的代码才算真正通过验收，可以放心合并到主干。