Utvecklingsverktyg · Kodkvalitet och säkerhetsgranskning
Kodgranskning med kvalitetsgrindar för buggar, sårbarheter och kodlukter.
Betyg 74 av 100 Praktiskt granskad
Läs bedömningenWebb-API:t under /api/ läser projekt, ärenden, mätvärden, regler och grindstatus och skriver konfiguration; anrop autentiseras med användartoken.
Källa: docs.sonarsource.com
Kontrollerat:
Officiellt · Webhooks (SonarSource) dokumentation
Leverantörens egen MCP-server kopplar en kodagent till SonarQube och låter den läsa ärenden, grindar och mått för ett projekt; den är ett separat förstapartsprojekt, inte inbyggd i servern.
Källa: github.com/SonarSource
Kontrollerat:
Totalbetyg
74 av 100
Praktiskt granskad
Community Build och källkoden utan analysmotorer ligger under LGPL-3.0, så servern, webbgränssnittet, API:t och datamodellen är fria att läsa, ändra och köra själv. Men sedan 29 november 2024 släpps de medföljande analysmotorerna – själva granskningslogiken för varje språk – under Sonar Source-Available License 1.0, som inte är en OSI-licens, och de betalda utgåvorna är slutna. Kärnan är öppen och fullt körbar, men en väsentlig del av produkten är källtillgänglig utan att vara fri. Det motsvarar open-core med tydligt öppen kärna och låsta delar, alltså tre och inte fem.
I labbet analyserades två kodbaser med samma scanner: en välhållen Node-tjänst på 189 rader med tester och en gammal integrationstjänst på 121 rader. Portalen passerade grinden med betyg A i både tillförlitlighet och säkerhet och 82 procents täckning inläst ur en lcov-fil; integrationstjänsten fälldes på betyg C och D med sex fynd – bland dem eval, ett hårdkodat lösenord och ett villkor som upprepas. Grinden fällde alltså rätt projekt av rätt skäl, och ärendelistan pekade ut fil och rad. Luckan för användningsfallet är att Community Build bara granskar en gren per projekt: en analys med sonar.branch.name avvisades med beskedet att grenanalys kräver Developer-utgåvan eller högre.
Webb-API:t läste i labbet ut projekt, ärenden med fil och rad, mätvärden per dimension, regelkatalog och grindstatus som JSON, och kvalitetsprofiler kan säkerhetskopieras som XML. Täckning och andra mått tas in i standardformat från bygget (lcov), och en ny installation kan analysera om samma kod och få samma resultat eftersom reglerna följer med servern. Det som inte flyttar är historiken: äldre analyser och ärendestatus hör till installationens databas, och någon fullständig serverexport finns inte i den fria utgåvan.
Produkten har funnits sedan 2006–2007, ägs av SonarSource i Genève och har en publicerad utgåvepolicy med LTA-utgåvor, säkerhetsbulletiner och en dokumentationsportal per utgåva. Repot på GitHub är aktivt med push samma dygn som bedömningen, omkring 11 100 stjärnor och ett brett ekosystem av scannrar, CI-integrationer och IDE-tillägg. Källkoden är tillgänglig för granskning, och licensbytet 2024 annonserades öppet i förväg. Det är en förvaltning i den högsta kategorin.
API:t täcker både läsning och konfiguration och användes i labbet för att sätta kvalitetsgrind, läsa ärenden och hämta mått; webhooks meddelar när en analys är klar, och scannern går att köra i vilken CI-kedja som helst. Sedan 2025 finns dessutom en officiell MCP-server i SonarSources egen GitHub-organisation, som låter en kodagent läsa ärenden och grindar för ett projekt. Arkitekturen är modulär med separata analysmotorer per språk. Det som saknas för högsta nivå är dokumenterad praktisk integrationsförmåga utöver API och MCP – plugin-ekosystemet i Community Build är begränsat jämfört med de kommersiella utgåvorna.
Servern startade i labbet som container mot en egen PostgreSQL på omkring en minut, med data, extensions och loggar i beständiga volymer. Kraven är tydliga och dokumenterade: en databas, några gigabyte minne och en höjd vm.max_map_count – den sista är lätt att missa och ger en server som startar om i tystnad. Uppgraderingar är envägskörningar som kräver backup av databasen, och äldre utgåvor måste passera en LTA innan de kan hoppa vidare. Sammantaget hanterbar drift för ett team med normal Linux- och databaskompetens.
Community Build är kostnadsfri, saknar radbegränsning och kräver ingen licensnyckel; kvar är driftkostnaden för en server och en databas. De betalda utgåvorna Developer, Enterprise och Data Center prissätts öppet per instans och år efter antal rader kod, så kostnaden är förutsägbar när den väl behövs. Att gren- och PR-analys ligger bakom betalutgåvan är den verkliga kostnadsdrivaren för ett team som arbetar grenbaserat, och kommersiell support ingår inte i den fria utgåvan – därför fyra och inte fem.
Gränssnittet är engelskt: installationen kördes med svensk webbläsarlocale och visade ändå engelska menyer, ärenden och regeltexter, och det finns ingen språkväxlare. Dokumentationen är engelskspråkig och någon svensk support eller svensk översättning kan inte beläggas hos leverantören. Produkten går att använda i Sverige – den hanterar svenska tecken och svenska kodbaser – men någon svensk anpassning finns inte, vilket är den lägsta nivån.
SonarQube läser igenom ett kodförråd och rapporterar buggar, sårbarheter, kodlukter, duplicering och testtäckning som en samlad översikt per projekt. Analysen görs av en scanner som körs lokalt eller i CI – på kommandoraden, via Maven eller Gradle, eller som container – och resultatet skickas till servern, som räknar ut ett betyg per kvalitetsdimension och jämför det mot en kvalitetsgrind. Grinden kan fällas på till exempel nya buggar eller sjunkande täckning, och då stoppas bygget.
Modellen bygger på att nya rader granskas hårdare än gammal kod: en post som redan finns får ligga kvar, men en ändring som inför en sårbarhet fälls direkt. Vid sidan av ärendelistan finns en regelkatalog med förklaringar och kodexempel, säkerhetshot som ska bedömas manuellt och ett REST-API som både läser resultat och skriver konfiguration.
Den fria Community Build-utgåvan är LGPL-licensierad, medan analysmotorerna lyder under Sonars egen source-available-licens. Gren- och pull request-analys kräver Developer-utgåvan eller högre, så Community Build granskar en gren per projekt.
6 skärmbilder. Välj en bild för att visa den i full storlek. Svep i sidled för fler.
Utvecklingsverktyg · Interaktiv beräkningsmiljö i notebook-format
Project Jupyter är ett paraplyprojekt för interaktiv beräkning: notebook-gränssnitt som Jupyter Notebook och JupyterLab, fleranvändarplattformen JupyterHub och öppna standarder för körbara dokument.
Bruno är en API-klient som lagrar sina samlingar som vanliga textfiler i projektmappen, så att API-testerna blir en del av kodbasen. För skrivbord och kommandorad.
