SonarQube agent plugins
Плагин SonarQube для агентов: проверка качества, замечания и сканирование секретов в цикле правок Claude Code, Codex и Cursor
- 114 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Хуки запускаются на правках агента, сканируют секреты и отправляют результаты анализа в SonarQube.
- Команда `sonar integrate` меняет конфигурацию агента: MCP-сервер и хуки, для Codex это `~/.codex/config.toml`.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/sonarqube-agent-pluginsОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Хуки запускаются на правках агента, сканируют секреты и отправляют результаты анализа в SonarQube.
- Команда `sonar integrate` меняет конфигурацию агента: MCP-сервер и хуки, для Codex это `~/.codex/config.toml`.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Плагин SonarQube от Sonar ставит агенту десять скиллов и ревьюера `sonarqube-reviewer`, а MCP-сервер и хуки подключает команда `sonar integrate <агент>` из SonarQube CLI. Скиллы вызываются командами вроде `/sonarqube:sonar-quality-gate`, `/sonarqube:sonar-list-issues` и `/sonarqube:sonar-fix-issue java:S1481 src/main/java/MyClass.java`: они показывают проекты, замечания, покрытие тестами, дублирование и уязвимости зависимостей. Хуки сканируют секреты в цикле правок. Если в организации SonarQube Cloud включен анализ Vortex, проверка запускается после каждой правки без ручного вызова. Ревьюер сводит скиллы в один обзор диффа и сам код не правит.
Для кого. Командам со SonarQube Cloud, Server или Community Build, где код пишут агенты и правила качества надо применять до CI.
Подходит, если
- Правка агента закончена, и перед коммитом запускают `/sonarqube:sonar-analyze src/auth/login.py`.
- Пулреквест открыт, и ревьюер собирает один отчет по диффу.
- В проекте висит замечание `python:S2077`, и агент исправляет его командой `/sonarqube:sonar-fix-issue`.
- Секреты не должны попасть в коммит, поэтому хуки сканируют их по ходу правок.
- В зависимостях появились новые уязвимости, и их разбирают командой `/sonarqube:sonar-triage-dependency-risks`.
Не подходит, если
- Учетной записи SonarQube нет: плагин работает с SonarQube Cloud, Server или Community Build.
- Docker, Podman и Nerdctl не установлены: образ MCP-сервера запускается в контейнере.
- Агент работает в Factory Droid: хуков сканирования секретов и анализа Vortex там нет.
- Анализ после каждой правки нужен без настройки организации: Vortex зависит от ее параметров в SonarQube Cloud.
Пример запроса к агенту
Проверь статус проверки качества проекта my-project на ветке main и покажи критические замечания.Ограничения
Нужны учетная запись SonarQube, SonarQube CLI (`sonar`) и контейнерный рантайм для образа MCP-сервера. Вход выполняет `sonar auth login`, учетные данные хранятся в связке ключей операционной системы. Анализ Vortex зависит от настроек организации в SonarQube Cloud. Для Claude Code нужен еще Node.js: на нем работает хук SessionStart. Репозиторий выпущен по лицензии SSAL-1.0, а полный набор хуков есть не у каждого агента.
Как отключить. Удалите плагин `sonarqube` средствами самого агента, для Claude Code это менеджер `/plugin`. Хуки и MCP-конфигурацию, созданные командой `sonar integrate`, уберите из настроек агента вручную.
Частые вопросы
Как поставить плагин SonarQube в Claude Code?
Выполните `/plugin install sonarqube@claude-plugins-official`, затем `/sonarqube:sonar-integrate` для установки CLI, входа и настройки хуков. Вход выполняет `sonar auth login`.
Как подключить плагин к Codex?
Выполните `codex plugin marketplace add SonarSource/sonarqube-agent-plugins` и `codex plugin add sonarqube@sonar`, затем `sonar auth login` и `sonar integrate codex`. Последняя команда пропишет MCP в `~/.codex/config.toml`.
Что делает ревьюер sonarqube-reviewer?
Он собирает обзор диффа или пулреквеста: проверку качества, замечания, уязвимости зависимостей, дублирование и покрытие. Код он не редактирует. Доступен в Claude Code, GitHub Copilot CLI и Cursor.
Какие агенты поддерживаются?
Claude Code, GitHub Copilot CLI, Cursor, Codex, Antigravity, Devin, Pi, OpenCode, Kiro и Factory Droid. Хуки секретов есть не у всех: в Factory Droid их нет.
Что нужно для работы кроме самого плагина?
Учетная запись SonarQube, SonarQube CLI (`sonar`) и Docker, Podman или Nerdctl для образа MCP-сервера. Вход выполняет `sonar auth login`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныОфициальный MCP-сервер SonarSource: проблемы качества и безопасности, quality gates и анализ кода из SonarQube Server и Cloud
Плагин Claude Code и OpenCode, который не дает закончить сессию, пока правки 1С не прошли проверку стандартов, архитектуры и XML
Плагины для Claude Code: визуальная регрессия по Figma, ревью тестов и кода, заметки проекта и разбор сессий в HTML-отчет
QA Agent для GigaCode CLI: 14 ролей и 6 скиллов для тестирования
QaAgentGigacodeCli
Тестирование по требованиям в GigaCode: от анализа и проверки автотестов до заключения, с поиском дублей перед заведением бага в Jira
CLI ставит в Claude Code и Codex проверку изменений запуском: сборка и тесты, ревью диффа и отдельный QA-агент.
Плагин Claude Code заставляет агента проверять код вокруг правки и доказывать работу тестом и независимым ревью до слова «готово»
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| SonarQube agent plugins (эта карточка) | нет | 114 | ||
| SonarQube MCP Server | да | API-ключ | 686 | дает агенту инструменты MCP для SonarQube; плагин добавляет скиллы, ревьюера и хуки сканирования секретов и подключает этот же MCP-сервер |
| Snyk CLI | да | OAuth | 5 709 | проверяет код и зависимости инструментами Snyk; SonarQube agent plugins работают с проектами и правилами SonarQube |
Коротко о README
Проект описывает установку плагина для каждого из десяти агентов, настройку входа через `sonar auth login` и `sonar integrate`, список скиллов с примерами команд и состав ревьюера.