SonarQube

SonarQube 是 Sonar（原 SonarSource）做的代码质量与安全分析平台。它接进你的代码仓库和 CI/CD 流程，对每次提交、每个分支和 PR 做静态扫描，把可靠性问题、安全漏洞、可维护性缺陷列出来，再由质量门（Quality Gate）决定这次改动能不能合并。团队里有人写代码、也有 AI 代理写代码时，它按同一套标准检查两边。

主要功能

核心是代码审查：找出会拖慢后续维护的 bug 和技术债，在合并前拦下。安全侧覆盖 SAST 静态应用安全测试、密钥泄露检测、基础设施即代码扫描和 SCA 开源组件分析，能在代码还在写的时候就报出漏洞。架构管理这块可以定义目标架构，看代码实际漂移到了哪里。检查结果带时间戳、绑定到具体 commit，方便向审计方说明某次合并为什么放行。

它不只跑在流水线上。官方提供 IDE 插件做边写边分析，有 CLI 在终端里验证，还有 MCP 和 Claude Code、Cursor、Codex、GitHub Copilot CLI 等插件，把检查带进 AI 编程工作流。集成方面对接 GitHub、GitLab、Bitbucket、Azure DevOps。

两种部署方式

SonarQube Cloud 由 Sonar 托管，连上仓库当天就能跑质量门，规则和 AI 代码检查自动更新，不用自己维护服务器。SonarQube Server 是自托管版本，装在自己的基础设施上，包括完全隔离的内网环境，适合对代码和扫描结果有驻留要求的受监管团队。两边用的是同一套分析和质量门。

费用与限制

官方提供免费起步的入口，具体档位和价格需要看定价页，页面上没有列出数字。Cloud 版要登录 SonarCloud 账号使用；Server 版需要自己负责升级和基础设施。界面为英文，文档、社区和下载入口都在官网。页面称有超过 700 万开发者和 75% 的财富 100 强公司在用。