SonarQube: полная инструкция по установке и когда это вообще нужно

Когда я впервые настраивал SonarQube на проекте в Яндексе, потратил полдня на то, чтобы понять, где искать конфиги и почему анализ висит на одном потоке. С тех пор многое изменилось, но инструмент остался сложным. Давайте разберёмся, стоит ли вообще его ставить, как его правильно развернуть и какие альтернативы реально работают.

Что такое SonarQube и зачем он вам

SonarQube — это платформа для статического анализа кода. Она сканирует ваши репозитории, находит баги, уязвимости, нарушения стиля, дублирование кода. Потом красивенько всё это выводит в веб-интерфейс и интегрируется с CI/CD.

Звучит как волшебство. На практике — это инструмент, который требует:

• Отдельного сервера (или контейнера)
• Базы данных PostgreSQL
• Времени на настройку под ваш стек
• Постоянного обслуживания

По-хорошему, SonarQube нужен крупным командам (10+ разработчиков) с серьёзными требованиями к качеству кода. Если вы стартап из 3 человек, вероятно, это оверкилл.

Поддерживает SonarQube кучу языков: Java, Python, JavaScript, TypeScript, C#, C++, Go, PHP и ещё с десяток. Community Edition бесплатна, но с ограничениями. Developer и Enterprise издания стоят от 500 до 5000 долларов в год в зависимости от размера.

Установка SonarQube: пошагово

Есть несколько способов: Docker, WAR-файл, ZIP-архив. Docker самый удобный. Вот как это работает.

Вариант 1: Docker Compose (самый простой)

Создаёшь файл docker-compose.yml:

version: '3.8'

services:
  postgres:
    image: postgres:15-alpine
    environment:
      POSTGRES_DB: sonarqube
      POSTGRES_USER: sonar
      POSTGRES_PASSWORD: your_secure_password
    volumes:
      - postgres_data:/var/lib/postgresql/data
    ports:
      - "5432:5432"

  sonarqube:
    image: sonarqube:10.2-community
    environment:
      SONAR_JDBC_URL: jdbc:postgresql://postgres:5432/sonarqube
      SONAR_JDBC_USERNAME: sonar
      SONAR_JDBC_PASSWORD: your_secure_password
    volumes:
      - sonarqube_data:/opt/sonarqube/data
      - sonarqube_logs:/opt/sonarqube/logs
    ports:
      - "9000:9000"
    depends_on:
      - postgres

volumes:
  postgres_data:
  sonarqube_data:
  sonarqube_logs:

Запускаешь:

docker-compose up -d

Ждёшь минут 2-3, пока инициализируется. Потом открываешь http://localhost:9000, логинишься с дефолтными креденшалами (admin/admin), меняешь пароль. Готово.

Вариант 2: Установка на Linux (если Docker недоступен)

Скачиваешь архив:

cd /opt
wget https://binaries.sonarsource.com/Distribution/sonarqube/sonarqube-10.2.0.77450.zip
unzip sonarqube-10.2.0.77450.zip
useradd sonar
chown -R sonar:sonar sonarqube-10.2.0.77450

Перед этим нужна PostgreSQL:

sudo apt-get install postgresql postgresql-contrib
sudo -u postgres psql

В psql выполняешь:

CREATE USER sonar WITH PASSWORD 'sonar_password';
CREATE DATABASE sonarqube OWNER sonar;

Потом редактируешь конфиг sonarqube-10.2.0.77450/conf/sonar.properties:

sonar.jdbc.username=sonar
sonar.jdbc.password=sonar_password
sonar.jdbc.url=jdbc:postgresql://localhost/sonarqube
sonar.web.port=9000

И запускаешь:

cd sonarqube-10.2.0.77450/bin/linux-x86-64
./sonar.sh start

Логи смотришь в logs/sonar.log.

Честно? Docker проще. Но если вы на микрозаказе где-нибудь на Vultr и нет возможности запустить контейнер — линукс-вариант рабочий.

Интеграция с CI/CD

Установили. Теперь надо чтобы он работал. Создаёшь проект в SonarQube, получаешь токен, добавляешь в GitLab CI или GitHub Actions.

GitLab CI пример

stages:
  - analyze

sonarqube-check:
  stage: analyze
  image: 
    name: sonarsource/sonar-scanner-cli:latest
    entrypoint: [""]
  variables:
    SONAR_HOST_URL: "http://sonarqube:9000"
    SONAR_LOGIN: "your_token_here"
  script:
    - sonar-scanner
      -Dsonar.projectKey=my-project
      -Dsonar.sources=.
      -Dsonar.host.url=$SONAR_HOST_URL
      -Dsonar.login=$SONAR_LOGIN
  only:
    - merge_requests

GitHub Actions

name: SonarQube Scan

on:
  pull_request:
    branches: [ main ]

jobs:
  sonarqube:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
        with:
          fetch-depth: 0
      
      - name: SonarQube Scan
        uses: SonarSource/sonarqube-scan-action@master
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }}

После этого каждый MR будет проверяться. SonarQube найдёт проблемы и покажет их прямо в интерфейсе.

Плюсы и минусы SonarQube

Я не буду вам врать. Инструмент хороший, но не для всех.

На одном проекте мы настраивали SonarQube для Java-монолита на 500K строк кода. Анализ занимал 15 минут на каждый коммит. Когда проект вырос до 2 млн строк, это стало просто невыносимо. Пришлось искать альтернативы.

Альтернативы: что реально используют

CodeClimate

Облачный сервис. Проще в настройке, быстрее работает. Стоит от 100 долларов в месяц. Хорош для SaaS и стартапов. Минус — данные на серверах CodeClimate, не on-premise.

ESLint, Pylint, Checkstyle (встроенные линтеры)

Если вы работаете на одном языке, встроенные инструменты часто достаточно. ESLint для JavaScript делает 80% того же, что SonarQube для JS. Бесплатно, быстро, просто.

Semgrep

Молодой инструмент для поиска уязвимостей. Очень быстрый, работает как на on-premise, так и облачно. Отличная альтернатива для SAST (static application security testing). Бесплатен.

DeepSource

Облачный аналог SonarQube. Быстрее, проще. Бесплатен для open source. Платная версия от 50 долларов в месяц.

Distiq — российская альтернатива

Если вы в России и не хотите отправлять код за границу, есть Distiq. Это AI-бот для code review, который интегрируется прямо в GitLab, GitHub или GitVerse. Анализирует каждый MR инлайн, находит баги, уязвимости, нарушения стиля. Данные остаются на российских серверах. Устанавливается за 2 минуты, не требует отдельной инфраструктуры. На мой взгляд, для большинства российских команд это удобнее, чем SonarQube.

Для каких проектов SonarQube имеет смысл

Подходит:

• Крупные legacy-системы (100K+ LOC), где нужна полная картина качества
• Команды 10+ разработчиков с требованиями к сертификации (ISO, PCI DSS)
• Проекты, где нужна история метрик за годы
• Многоязычные системы, где нельзя обойтись одним ESLint

Не подходит:

• Стартапы до 5 человек (слишком сложно)
• Микросервисы на отдельных языках (проще линтеры)
• Команды, которые не готовы обслуживать инфраструктуру
• Если код чувствительный и нельзя отправлять даже на облачные сервисы

Честно? Я вижу тренд: крупные компании переходят с SonarQube на облачные решения типа CodeClimate или DeepSource. Они дешевле в обслуживании и работают быстрее. SonarQube остаётся в компаниях с очень жёсткими требованиями к безопасности и данным.

Типичные проблемы при установке

SonarQube не стартует. Проверьте логи в logs/sonar.log. Обычно это нехватка памяти или проблема с подключением к PostgreSQL. Добавьте в sonar.properties:

sonar.web.javaOpts=-Xmx2g
sonar.ce.javaOpts=-Xmx2g

Анализ зависает. Если проект больше 500K строк, отключите некоторые правила или разбейте проект на части. В sonar.properties:

sonar.exclusions=**/node_modules/**,**/dist/**

Интеграция с CI не работает. Убедитесь, что SonarQube доступен из CI-системы (сетевая доступность) и токен правильный.

Итог

SonarQube — мощный инструмент, но не универсальный. Перед установкой честно ответьте на вопросы: сколько разработчиков? какой размер кода? готовы ли обслуживать сервер? есть ли бюджет?

Если ответы "много", "большой" и "да" — SonarQube рабочий выбор. Если нет — начните с простого (ESLint, Pylint) или облачного решения.

Кстати, если вы на GitLab или GitHub и ищете что-то полегче чем SonarQube, попробуйте Distiq. За 2 минуты интегрируется, находит баги инлайн в MR, и никакой инфраструктуры не нужно. Данные в России.