Платформа контроля качества кода и статического анализа с quality gates, мультиязычным сканированием и правилами, ориентированными на безопасность, для выявления уязвимостей и проблем сопровождаемости в CI/CD-процессах.
SonarQube — это платформа алгоритмической верификации для качества и безопасности кода. Её статический анализ применяет такие методы, как символьное исполнение, а также анализ потоков данных и управления, для проверки вашего кода, поиска ошибок, уязвимостей и структурных проблем и точного указания того, что и почему нужно исправить — в вашей IDE, ваших pull request'ах и вашем CI-конвейере.
В этом репозитории хранится исходный код SonarQube Community Build — бесплатной версии платформы SonarQube с открытым исходным кодом. Она использует тот же анализ, что и вся линейка продуктов SonarQube.
ИИ пишет код быстрее, чем команды успевают его проверять, создавая долг верификации: код попадает в продакшен прежде, чем кто-либо подтвердил, что он делает. SonarQube применяет один и тот же последовательный, объяснимый анализ к каждой строке — независимо от того, написал её разработчик или агент. Сначала вайб, потом верификация: генерируйте быстро, а затем проверяйте то, что попадает в продакшен. Это этап верификации в цикле разработки, ориентированном на агентов (Agent Centric Development Cycle), работающий во внешнем цикле CI-верификации для проверки кода перед слиянием.
Платформа SonarQube анализирует более 40 языков программирования и фреймворков; Community Build поддерживает их подмножество. Анализ воспроизводим, поддаётся аудиту и объясним: один и тот же код всегда даёт одни и те же результаты, каждая находка отслеживаема, и каждая из них сообщает, в чём проблема и почему она важна.
SonarQube Server и SonarQube Cloud включают всё, что есть в Community Build, и дополнительно предлагают:
Обнаруживайте больше
Анализируйте весь свой рабочий процесс
Управляйте, отчитывайтесь и смотрите по всем командам
Исправляйте
Некоторые возможности входят в дополнение SonarQube Advanced Security. Подробности см. в разделе линейка продуктов.
Quality Gate — это проверка «пройдено или не пройдено» для вашего нового кода. Задайте стандарт один раз, и SonarQube будет автоматически применять его в каждом pull request'е и конвейере, чтобы проблемы выявлялись до слияния, а не обнаруживались в продакшене.
Community Build бесплатен и имеет открытый исходный код. Вся линейка SonarQube применяет один и тот же анализ по всему вашему рабочему процессу:
Сравните тарифы и планы SonarQube, чтобы выбрать подходящий продукт и модель развёртывания.
Community Build бесплатен? Да. Он бесплатен, имеет открытый исходный код, и этот репозиторий является его исходным кодом.
В чём разница между Community Build и SonarQube Server? Community Build — это бесплатный, развёртываемый самостоятельно движок. SonarQube Server и SonarQube Cloud — коммерческие редакции. Они охватывают больше языков и добавляют анализ веток и pull request'ов, анализ состава программного обеспечения (SCA), управление архитектурой, расширенную безопасность с анализом заражения (SAST), обнаружение секретов, анализ инфраструктуры как кода (IaC), SonarQube Remediation Agent для проверенных pull request'ов с исправлениями и корпоративную отчётность. Некоторые возможности входят в дополнение SonarQube Advanced Security. Подробности см. в разделе линейка продуктов.
