SonarSource/sonarqube

これは何？

主な機能

• 01ソースコードのバグ、信頼性に関する問題、セキュリティ脆弱性を検出する。
• 02コードの変更を難しくする保守性や構造上の問題を指摘する。
• 03プルリクエストやパイプラインで、新規コードに対してQuality Gatesを適用する。
• 04検出した問題とそのリスクを説明し、修正方法を案内する。
• 05Webダッシュボードを備えたセルフマネージドサーバーとして動作する。

ユースケース

• CIパイプラインにコード品質とセキュリティの自動チェックを追加する。
• セルフホスト型サーバーで、チームのリポジトリ全体にわたるコード品質の推移を追跡する。
• マージ前にプルリクエストの新規コードをレビューする。

クイックスタート

1. 1

   Gradleでプロジェクトをビルドします（Java 21とGitが必要です）

   ./gradlew build
2. 2

   sonar-application/build/distributions/にある配布ファイルを解凍し、Linuxでサーバーを起動します

   bin/linux-x86-64/sonar.sh start

使う前に知っておきたいこと

• !ソースからビルドするには、Java 21とネイティブのGitが必要です。
• !Community Buildでサポートされる言語は、商用エディションより少数です。
• !SonarSource以外からの機能追加の提案は通常受け入れられず、マージされるのは一般に小規模な修正のみです。

トピック

よくある質問

sonarqube とは？

バグや脆弱性、保守性の問題をスキャンし、CIパイプラインでQuality Gatesを適用するセルフホスト型のコード品質・セキュリティプラットフォーム。 SonarQubeは、ソースコードを静的解析してバグ、セキュリティ脆弱性、セキュリティホットスポット、構造上の問題を検出し、何を、なぜ修正すべきかを説明するプラットフォームです。解析結果はWebダッシュボードで確認でき、IDE、プルリクエスト、CIパイプラインにも表示できます。

sonarqube は無料で使えますか？ライセンスは？

sonarqube は LGPL-3.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

sonarqube は今もメンテナンスされていますか？

活発にメンテナンス中。sonarqube の最終コミットは 2026年10月17日 です。

sonarqube は何に使えますか？

CIパイプラインにコード品質とセキュリティの自動チェックを追加する。 セルフホスト型サーバーで、チームのリポジトリ全体にわたるコード品質の推移を追跡する。 マージ前にプルリクエストの新規コードをレビューする。

sonarqube のインストール方法は？

Gradleでプロジェクトをビルドします（Java 21とGitが必要です）: ./gradlew build sonar-application/build/distributions/にある配布ファイルを解凍し、Linuxでサーバーを起動します: bin/linux-x86-64/sonar.sh start

sonarqube はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/SonarSource/sonarqube