SonarQube (Sonar): что умеет, где ломается и когда стоит брать

Когда я впервые столкнулся с SonarQube — это был 2016 год, проект на Java, и мы думали, что качество кода у нас отличное. Спойлер: не отличное. Sonar показал нам 2000+ проблем, из которых критических — около сотни. Было больно, но полезно.

С тех пор много воды утекло. Sonar (как его часто называют разработчики) стал стандартом в энтерпрайзе. Но не везде и не всегда. Давайте разберёмся, что это за инструмент, когда он работает, а когда создаёт больше проблем, чем решает.

Что такое SonarQube и что он умеет

SonarQube — платформа для непрерывного анализа качества кода. Open-source версия доступна бесплатно, коммерческие редакции стоят денег. Инструмент проверяет исходный код на баги, уязвимости, code smells, дубликаты и покрытие тестами.

Языки? Практически всё: Java, JavaScript, TypeScript, Python, C#, C++, Go, PHP, Kotlin, Ruby, Scala, Swift. Список длинный. Но есть нюанс — не все языки поддерживаются в бесплатной версии. Например, C# и C++ требуют Enterprise-лицензии.

SonarQube работает по правилам. Каждое правило — это паттерн, который ищет конкретную проблему. Правила сгруппированы по категориям: безопасность, надёжность, поддерживаемость. Для каждой категории считается метрика, и все они сворачиваются в одну цифру — Quality Gate.

Quality Gate — это итоговый вердикт. Прошёл или не прошёл. Можно настроить пороги: например, не больше 5 критических багов, покрытие тестами не ниже 60%, новый код без дубликатов. Если пороги пройдены — зелёный статус. Нет — красный, и MR/PR блокируется.

Как это выглядит на практике

Типичный сценарий: разработчик пушит код, CI-пайплайн запускает анализ, SonarQube публикует результаты.

Пример конфига для GitLab CI:

sonarqube-check:
  stage: test
  image: sonarsource/sonar-scanner-cli
  script:
    - sonar-scanner \
        -Dsonar.projectKey=my-project \
        -Dsonar.sources=src \
        -Dsonar.host.url=http://sonar.example.com \
        -Dsonar.token=$SONAR_TOKEN
  only:
    - merge_requests
    - main

Выглядит просто. Но есть подводные камни.

Во-первых, SonarQube — это сервер. Его нужно где-то хостить. Если у вас небольшой проект, поднимать отдельный сервер ради анализа кода — оверхед. Облачная версия SonarCloud решает эту проблему, но стоит денег и требует, чтобы репозитории были на GitHub, GitLab.com или Azure DevOps. Self-hosted GitLab? Извините.

Во-вторых, время анализа. На большом монорепозитории первый прогон может занять 20-30 минут. Incremental анализ ускоряет процесс, но только для последующих прогонов.

В-третьих, false positives. SonarQube может ругаться на код, который на самом деле корректен. Пример из жизни:

# Sonar: "Remove this useless assignment to local variable"
result = calculate_something()
result = apply_transformations(result)  # второе присваивание нужно
return result

Правило разумное, но в данном случае срабатывает ложно. Приходится или отключать правило, или добавлять исключения. И то, и другое — технический долг.

Плюсы и минусы SonarQube

Сведу в таблицу — так нагляднее:

Честно? Для крупной компании с бюджетом и выделенной командой DevOps SonarQube — отличный выбор. Для стартапа или маленькой команды это может стать обузой.

Кому подходит SonarQube

SonarQube идеален для:

• Крупных энтерпрайз-проектов с сотнями разработчиков
• Команд с выделенными DevOps-инженерами
• Проектов с высокими требованиями к безопасности (банки, финтех)
• Компаний, которым нужен аудит качества кода для регуляторов

На одном проекте в банке мы внедряли SonarQube не ради улучшения кода, а ради галочки для ЦБ. Звучит цинично, но это реальность. Аудиторы видят отчёты Sonar, и все довольны.

А вот кому SonarQube не подходит:

• Стартапам на стадии MVP
• Маленьким командам без DevOps
• Проектам на русском хостинге с ограниченным бюджетом
• Командам, которым нужен быстрый старт без настройки инфраструктуры

Альтернативы SonarQube

SonarQube — не единственный игрок. Расскажу про основные альтернативы.

SonarLint — плагин для IDE. Показывает проблемы прямо в редакторе, до коммита. Бесплатный, лёгкий, интегрируется с SonarQube. Отличное дополнение, но не замена: нет истории, нет Quality Gate, нет командной аналитики.

CodeClimate — облачный сервис, популярен в США. Хороший UX, но нет self-hosted версии, и данные уходят на серверы в США. Для российских компаний это проблема.

Codacy — тоже облако, похож на CodeClimate. Поддерживает много языков, но те же ограничения по локации данных.

ESLint, Pylint, Golint — линтеры для конкретных языков. Легковесные, быстрые, настраиваются под проект. Но нет единой картины по всем языкам, нужен отдельный слой агрегации результатов.

Distiq — российский AI-бот для code review. Анализирует MR/PR в GitLab, GitHub и GitVerse, находит баги, уязвимости и проблемы стиля. Отличия от SonarQube:

• Не нужен отдельный сервер — работает через webhook
• AI понимает контекст, а не просто применяет правила
• Серверы в РФ, данные не покидают страну
• Интеграция за 2 минуты

Distiq не пытается быть SonarQube. Это другой подход: не статический анализ по правилам, а AI-ревью, которое понимает семантику кода. Для команды из 5-15 человек, которая хочет качество кода без настройки сервера и тюнинга правил — Distiq закрывает потребность.

Итог

SonarQube — мощный инструмент с историей. Эталон для энтерпрайза. Но он требует инвестиций: времени на настройку, людей на поддержку, денег на лицензии для продвинутых фич.

Если у вас есть ресурсы и инфраструктура — берите SonarQube. Он отработает каждый вложенный рубль. Если же вы маленькая команда или российская компания, которой важно, где лежат данные, — посмотрите в сторону Distiq.

Качество кода — это не инструмент. Это культура. Инструмент только помогает её поддерживать. SonarQube помогает хорошо. Но есть альтернативы, которые помогают не хуже, а местами — проще и быстрее.