sonarqube

软件介绍

SonarQube 是 Sonar（SonarSource）出品的代码质量与安全分析平台，通过自动化扫描发现代码中的缺陷、漏洞、坏味道（code smells）和安全热点。官方提供自行部署的 SonarQube Server 与托管的 SonarQube Cloud 两种形态。

核心功能

• 代码质量：自动代码审查，通过质量门（Quality Gate）让流水线通过或失败，并跟踪可维护性、可靠性和技术债。
• 安全分析：官网列出 SAST、注入类漏洞的污点分析、密钥检测、基础设施即代码扫描等。
• 语言覆盖：官方称支持 40 多种语言、框架和基础设施平台，包括 Java、JavaScript、TypeScript、Python、C#、C++ 和 Go。官网另一处写作 35 种以上，两处数字不一致。
• 集成：提供 IDE 插件（SonarQube for IDE），可接入 CI/CD，并在 GitHub、GitLab、Bitbucket、Azure DevOps 的合并请求上展示结果。

支持平台与系统要求

SonarQube Server 是自行部署的服务端。官方文档提供 Linux、Unix 类系统和 macOS 的安装前准备指南，也推荐用 Docker 或 Helm 部署。其中 Linux 上内嵌的 Elasticsearch 对内核参数和文件数有要求。Java 版本和数据库等具体要求本次未查到。

版本与授权

官方文档当前版本为 2026.2。Server 有 Developer、Enterprise、Data Center 等付费版本，官网同时说明可免费使用社区版。GitHub 上的源码仓库采用 LGPL-3.0 许可。价格页未打开，具体价格未查到。

适用人群或使用场景

适合开发团队把静态分析接入持续集成，在代码合入前控制质量与安全风险，尤其是需要数据留在内部、选择自建服务的团队。