SonarQube MCP Server

Server MCP SonarQube

Server MCP SonarQube adalah server Model Context Protocol (MCP) yang memungkinkan integrasi tanpa hambatan dengan SonarQube Server atau Cloud untuk kualitas dan keamanan kode. Server ini juga mendukung analisis cuplikan kode secara langsung dalam konteks agen.

Pengaturan cepat

🚀 Hasilkan konfigurasi Anda

Cara tercepat untuk memulai adalah Generator Konfigurasi Server MCP SonarQube – alat interaktif yang menghasilkan konfigurasi siap pakai untuk klien agen AI pilihan Anda.

Pengaturan manual

Jika Anda lebih suka mengonfigurasi sendiri, metode paling sederhana adalah menggunakan image kontainer kami di sonarsource/sonarqube-mcp. Gunakan sonarsource/sonarqube-mcp untuk pembaruan otomatis (dengan --pull=always), atau sematkan ke tag versi (mis., sonarsource/sonarqube-mcp:1.19.0.2785) untuk deployment yang dapat direproduksi. Baca di bawah jika Anda ingin membangunnya secara lokal.

Catatan: Meskipun contoh di bawah menggunakan docker, runtime kontainer apa pun yang kompatibel dengan OCI dapat digunakan (mis., Podman, nerdctl). Cukup ganti docker dengan alat pilihan Anda.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Tips: Kami merekomendasikan untuk menarik image terbaru secara berkala atau sebelum melaporkan masalah untuk memastikan Anda memiliki fitur dan perbaikan terkini.

Instalasi manual

Anda dapat menginstal server MCP SonarQube secara manual dengan menyalin cuplikan berikut di file konfigurasi server MCP:

• Untuk terhubung dengan SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Untuk terhubung dengan SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Integrasi dengan SonarQube untuk IDE

Server MCP SonarQube dapat berintegrasi dengan SonarQube untuk IDE untuk lebih meningkatkan alur kerja pengembangan Anda, memberikan analisis kode dan wawasan yang lebih baik langsung di dalam IDE Anda.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Konfigurasi

Tergantung pada lingkungan Anda, Anda harus menyediakan variabel lingkungan tertentu.

Dasar

Anda harus menambahkan variabel berikut saat menjalankan Server MCP:

Mount Ruang Kerja (Mengurangi Pembengkakan Konteks)

Secara default, alat analisis analyze_code_snippet mengharuskan agen untuk mengirimkan konten file lengkap sebagai argumen fileContent. Untuk file besar atau saat menganalisis banyak file dalam satu sesi, ini secara signifikan meningkatkan penggunaan jendela konteks dan biaya. Solusi: pasang direktori proyek Anda ke dalam kontainer di /app/mcp-workspace. Ketika pemasangan ini terdeteksi, server membaca berkas langsung dari disk menggunakan argumen filePath yang relatif terhadap proyek — konten berkas tidak pernah melewati konteks agen.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

Ketika pemasangan aktif:

• run_advanced_code_analysis menjadi tersedia jika organisasi Anda berhak menggunakannya
• analyze_code_snippet: filePath diperlukan dan fileContent tidak digunakan — server menyelesaikan berkas dengan cara yang sama

Pengaktifan Alat Secara Selektif

Secara bawaan, hanya kumpulan alat penting yang diaktifkan untuk mengurangi beban konteks. Anda dapat mengaktifkan kumpulan alat tambahan sesuai kebutuhan.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Untuk mengaktifkan fungsionalitas penuh, variabel lingkungan berikut harus diatur sebelum memulai server:

Contoh:

• SonarQube Cloud: Hanya SONARQUBE_TOKEN dan SONARQUBE_ORG yang diperlukan
• SonarQube Cloud US: Atur SONARQUBE_TOKEN, SONARQUBE_ORG, dan SONARQUBE_URL=https://sonarqube.us

SonarQube Server

⚠️ Koneksi ke SonarQube Server memerlukan token bertipe PENGGUNA dan tidak akan berfungsi dengan baik jika token proyek atau token global digunakan.

💡 Tips Konfigurasi (mode stdio): Keberadaan SONARQUBE_ORG menentukan apakah Anda terhubung ke SonarQube Cloud atau Server. Jika SONARQUBE_ORG diatur, SonarQube Cloud digunakan; jika tidak, SonarQube Server digunakan.

Mode Transport

Spesifikasi MCP mendefinisikan dua mekanisme transport: Stdio dan HTTP Streamable. SonarQube MCP Server mendukung keduanya:

Catatan: HTTP Streamable adalah transport jaringan MCP saat ini. Transport HTTP khusus SSE yang lebih lama dari versi MCP sebelumnya sudah usang dan tidak didukung.

1. Stdio (Bawaan - Direkomendasikan untuk Pengembangan Lokal)

Mode yang direkomendasikan untuk pengembangan lokal dan pengaturan pengguna tunggal, digunakan oleh sebagian besar klien MCP.

Contoh - Docker dengan SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (HTTP Streamable)

Transport HTTP Streamable tidak terenkripsi. Gunakan HTTPS sebagai gantinya untuk penerapan multi-pengguna.

⚠️ Tidak Direkomendasikan: Gunakan Stdio untuk pengembangan lokal atau HTTPS (HTTP Streamable) untuk penerapan produksi multi-pengguna.

• Jika SONARQUBE_ORG diatur saat startup server, semua permintaan dirutekan ke organisasi tersebut. Klien tidak boleh mengirim header SONARQUBE_ORG — melakukannya akan menghasilkan kesalahan.
• Jika SONARQUBE_ORG tidak diatur saat startup server, setiap klien harus menyediakan header SONARQUBE_ORG pada setiap permintaan. Klien juga dapat mempersempit alat yang terlihat per permintaan dengan menyediakan header SONARQUBE_TOOLSETS dan/atau SONARQUBE_READ_ONLY; ini menerapkan pemfilteran tambahan di atas konfigurasi tingkat server — mereka hanya dapat mengurangi cakupan, tidak pernah memperluasnya. Tidak ada status sesi yang dipertahankan di antara permintaan.

Usang: Header permintaan SONARQUBE_TOKEN masih diterima untuk kompatibilitas mundur tetapi akan dihapus di versi mendatang. Migrasikan ke Authorization: Bearer <token>.

3. HTTPS (Streamable HTTP melalui TLS) (Direkomendasikan untuk Deployment Produksi Multi-Pengguna)

Transport Streamable HTTP yang aman dengan enkripsi TLS. Memerlukan sertifikat SSL.

✅ Direkomendasikan untuk Produksi: Gunakan HTTPS saat men-deploy server MCP untuk banyak pengguna melalui Streamable HTTP. Server terikat ke 127.0.0.1 (localhost) secara default untuk keamanan.

Konfigurasi Sertifikat SSL (Opsional):

Contoh - Docker dengan SonarQube Cloud:

Catatan: Saat berjalan di dalam kontainer, atur SONARQUBE_HTTP_HOST=0.0.0.0 agar kontainer mendengarkan di semua antarmuka dan pemetaan port runtime berfungsi, dan atur SONARQUBE_MCP_IN_CONTAINER=true untuk memberi tahu server bahwa ia berada di dalam kontainer. Image Docker resmi mengatur yang terakhir secara otomatis; atur sendiri saat menggunakan runtime OCI lain (Podman, Kubernetes, Nomad, dll.). Flag port sisi host mengontrol siapa yang dapat mencapai server dari luar kontainer. SONARQUBE_HTTP_HOST=0.0.0.0 hanya mengontrol di mana server mendengarkan di dalam kontainer — CORS browser masih mengizinkan asal localhost secara default.

Untuk server yang berjalan secara lokal di mesin Anda (hanya dapat diakses dari localhost):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Untuk server yang dapat diakses dari jaringan (deployment jarak jauh):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  -e SONARQUBE_TOKEN="<init-token>" \
  -e SONARQUBE_ORG="<your-org>" \
  sonarsource/sonarqube-mcp

Konfigurasi Klien (SonarQube Cloud):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_ORG": "<your-org>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Konfigurasi Klien (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Catatan: SONARQUBE_TOOLSETS dan SONARQUBE_READ_ONLY adalah header opsional per permintaan yang mempersempit set alat tingkat server untuk permintaan spesifik tersebut. Mereka hanya dapat mengurangi cakupan — mereka tidak dapat mengaktifkan set alat atau mencabut pembatasan di luar apa yang diluncurkan dengan server.

Catatan: Untuk pengembangan lokal, gunakan transport Stdio sebagai gantinya (default). HTTPS Streamable HTTP ditujukan untuk deployment produksi multi-pengguna dengan sertifikat SSL yang tepat.

Endpoint Layanan

Saat berjalan dalam mode Streamable HTTP (http atau https), server mengekspos beberapa endpoint layanan yang tidak terautentikasi selain endpoint MCP di /mcp. Ini ditujukan untuk penggunaan layanan-ke-layanan (pemantauan, orkestrasi, pemeriksaan kompatibilitas klien) dan tidak memerlukan header Authorization.

Endpoint ini tidak tersedia saat berjalan dengan transport Stdio.

Sertifikat Kustom

Jika SonarQube Server Anda menggunakan sertifikat yang ditandatangani sendiri atau sertifikat dari Otoritas Sertifikat (CA) pribadi, Anda dapat menambahkan sertifikat kustom ke kontainer yang akan diinstal secara otomatis.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Proxy

SonarQube MCP Server mendukung proxy HTTP dan SOCKS5 melalui properti sistem Java standar.

Alat

Analisis

• analyze_code_snippet - Menganalisis konten file dengan penganalisis SonarQube untuk mengidentifikasi masalah kualitas dan keamanan kode. Selalu menganalisis konten file lengkap untuk akurasi. Secara opsional memfilter hasil ke potongan kode tertentu.

  Penggunaan:

  • Dengan workspace ter-mount (direkomendasikan): berikan filePath (relatif terhadap proyek) — server membaca file secara langsung, menjaga konten file keluar dari jendela konteks agen
  • Tanpa mount workspace: berikan fileContent lengkap untuk analisis file penuh (melaporkan semua masalah)
  • Tambahkan codeSnippet opsional untuk memfilter hasil - hanya masalah dalam potongan yang akan dilaporkan (lokasi potongan terdeteksi otomatis)

  Parameter:

  • projectKey - Kunci proyek SonarQube - String Wajib (Diabaikan saat SONARQUBE_PROJECT_KEY didefinisikan)
  • filePath - Path relatif proyek dari file yang akan dianalisis (mis., src/main/java/MyClass.java). Digunakan saat workspace di-mount di /app/mcp-workspace - String
  • fileContent - Konten file lengkap sebagai string. Wajib saat workspace tidak di-mount - String
  • codeSnippet - Potongan kode untuk memfilter masalah (harus cocok dengan konten di fileContent) - String
  • language - Bahasa kode (mis., 'java', 'python', 'js', 'ts', 'tsx', 'jsx') - String
  • scope - Cakupan file: MAIN atau TEST (default: MAIN) - String

  Bahasa yang Didukung: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, Deteksi rahasia

Saat integrasi dengan SonarQube for IDE diaktifkan:

• analyze_file_list - Menganalisis file di direktori kerja saat ini menggunakan SonarQube for IDE. Alat ini terhubung ke instance SonarQube for IDE yang berjalan untuk melakukan analisis kualitas kode pada daftar file.

  • file_absolute_paths - Daftar path file absolut untuk dianalisis - String[] Wajib

• toggle_automatic_analysis - Mengaktifkan atau menonaktifkan analisis otomatis SonarQube for IDE. Saat diaktifkan, SonarQube for IDE akan secara otomatis menganalisis file saat dimodifikasi di direktori kerja. Saat dinonaktifkan, analisis otomatis dimatikan.

  • enabled - Mengaktifkan atau menonaktifkan analisis otomatis - Boolean Wajib

Saat analisis lanjutan diaktifkan untuk organisasi SonarQube Cloud Anda:

Memerlukan workspace ter-mount di /app/mcp-workspace

• run_advanced_code_analysis - Menjalankan analisis kode lanjutan di SonarQube Cloud untuk satu file. Organisasi disimpulkan dari konfigurasi MCP.
  • projectKey - Kunci proyek - String Wajib (Diabaikan saat SONARQUBE_PROJECT_KEY didefinisikan)
  • branchName - Nama cabang yang digunakan untuk mengambil konteks analisis terbaru - String Wajib
  • filePath - Path relatif proyek dari file yang akan dianalisis (mis., src/main/java/MyClass.java). - String Wajib
  • fileScope - Mendefinisikan dari cakupan mana file berasal: 'MAIN' atau 'TEST' (default: MAIN) - String

Cakupan

• search_files_by_coverage - Cari file dalam proyek yang diurutkan berdasarkan cakupan (naik - cakupan terburuk terlebih dahulu). Alat ini membantu mengidentifikasi file yang perlu peningkatan cakupan pengujian.

  • projectKey - Kunci proyek untuk pencarian - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • maxCoverage - Ambang batas cakupan maksimum (0-100). Hanya kembalikan file dengan cakupan <= nilai ini - Angka
  • pageIndex - Indeks halaman (berbasis 1, default: 1) - Angka
  • pageSize - Ukuran halaman (default: 100, maks: 500) - Angka

• get_file_coverage_details - Dapatkan informasi cakupan baris per baris untuk file tertentu, termasuk baris mana yang tidak tercakup dan mana yang memiliki cabang tercakup sebagian. Alat ini membantu mengidentifikasi secara tepat di mana harus menambahkan cakupan pengujian. Gunakan setelah mengidentifikasi file dengan cakupan rendah melalui search_files_by_coverage.

  • key - Kunci file (mis. my_project:src/foo/Bar.java) - String Wajib
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • from - Baris pertama untuk dianalisis (berbasis 1, default: 1) - Angka
  • to - Baris terakhir untuk dianalisis (inklusif). Jika tidak ditentukan, semua baris dikembalikan - Angka

Risiko Dependensi

Catatan: Risiko dependensi hanya tersedia saat terhubung ke SonarQube Server 2025.4 Enterprise atau lebih tinggi dengan SonarQube Advanced Security diaktifkan.

• search_dependency_risks - Cari isu analisis komposisi perangkat lunak (risiko dependensi) dari proyek SonarQube, dipasangkan dengan rilis yang muncul dalam proyek, aplikasi, atau portofolio yang dianalisis.
  • projectKey - Kunci proyek - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • pageIndex - Indeks halaman opsional (berbasis 1, default: 1) - Integer
  • pageSize - Ukuran halaman opsional. Harus lebih besar dari 0 dan kurang dari atau sama dengan 500 (default: 100) - Integer

Perusahaan

Catatan: Perusahaan hanya tersedia saat terhubung ke SonarQube Cloud.

• list_enterprises - Daftar perusahaan yang tersedia di SonarQube Cloud yang dapat Anda akses. Gunakan alat ini untuk menemukan ID perusahaan yang dapat digunakan dengan alat lain.
  • enterpriseKey - Kunci perusahaan opsional untuk memfilter hasil - String

Isu

• change_sonar_issue_status - Ubah status isu SonarQube menjadi "accept", "falsepositive" atau untuk "reopen" sebuah isu.

  • key - Kunci isu - String Wajib
  • status - Status isu baru - Enum Wajib {"accept", "falsepositive", "reopen"}

• search_sonar_issues_in_projects - Cari isu SonarQube di proyek organisasi saya.

  • projects - Daftar opsional proyek Sonar - String[]
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • severities - Daftar opsional tingkat keparahan untuk difilter. Nilai yang mungkin: INFO, LOW, MEDIUM, HIGH, BLOCKER - String[]
  • impactSoftwareQualities - Daftar opsional kualitas perangkat lunak untuk difilter. Nilai yang mungkin: MAINTAINABILITY, RELIABILITY, SECURITY - String[]
  • issueStatuses - Daftar opsional status isu untuk difilter. Nilai yang mungkin: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX - String[]
  • issueKey - Kunci isu opsional untuk mengambil isu tertentu - String
  • p - Nomor halaman opsional (default: 1) - Integer
  • ps - Ukuran halaman opsional. Harus lebih besar dari 0 dan kurang dari atau sama dengan 500 (default: 100) - Integer

Titik Rawan Keamanan

• search_security_hotspots - Cari Titik Rawan Keamanan di proyek SonarQube.

  • projectKey - Kunci proyek atau aplikasi - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)
  • hotspotKeys - Daftar kunci Titik Rawan Keamanan spesifik yang dipisahkan koma untuk diambil - String[]
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • files - Daftar opsional jalur file untuk difilter - String[]
  • status - Filter status opsional: TO_REVIEW, REVIEWED - String
  • resolution - Filter resolusi opsional: FIXED, SAFE, ACKNOWLEDGED - String
  • sinceLeakPeriod - Filter titik rawan yang dibuat sejak periode kebocoran (kode baru) - Boolean
  • onlyMine - Hanya tampilkan titik rawan yang ditugaskan kepada saya - Boolean
  • p - Nomor halaman opsional (default: 1) - Integer
  • ps - Ukuran halaman opsional. Harus lebih besar dari 0 dan kurang dari atau sama dengan 500 (default: 100) - Integer

• show_security_hotspot - Dapatkan informasi detail tentang Titik Rawan Keamanan tertentu, termasuk detail aturan, konteks kode, aliran, dan komentar.

  • hotspotKey - Kunci Titik Rawan Keamanan - String Wajib

• change_security_hotspot_status - Tinjau Titik Rawan Keamanan dengan mengubah statusnya. Saat menandai sebagai REVIEWED, Anda harus menentukan resolusi (FIXED, SAFE, atau ACKNOWLEDGED).

  • hotspotKey - Kunci Titik Rawan Keamanan - String Wajib
  • status - Status baru - Enum Wajib {"TO_REVIEW", "REVIEWED"}
  • resolution - Resolusi saat status REVIEWED - Enum {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment - Komentar tinjauan opsional - String

Bahasa

• list_languages - Daftar semua bahasa pemrograman yang didukung di instansi SonarQube ini.
  • q - Pola opsional untuk mencocokkan kunci/nama bahasa - String

Ukuran

• get_component_measures - Dapatkan ukuran SonarQube untuk komponen (proyek, direktori, file).
  • projectKey - Kunci proyek - String Wajib saat SONARQUBE_PROJECT_KEY tidak dikonfigurasi
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • metricKeys - Kunci metrik opsional untuk diambil (mis. ncloc, complexity, violations, coverage) - String[]
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String

Metrik

• search_metrics - Cari metrik SonarQube.
  • p - Nomor halaman opsional (default: 1) - Integer
  • ps - Ukuran halaman opsional. Harus lebih besar dari 0 dan kurang dari atau sama dengan 500 (default: 100) - Integer

Portofolio

• list_portfolios - Daftar portofolio perusahaan yang tersedia di SonarQube dengan opsi pemfilteran dan penomoran halaman.

  Untuk SonarQube Server:

  • q - Kueri pencarian opsional untuk memfilter portofolio berdasarkan nama atau kunci - String
  • favorite - Jika true, hanya mengembalikan portofolio favorit - Boolean
  • pageIndex - Nomor halaman berbasis 1 opsional (default: 1) - Integer
  • pageSize - Ukuran halaman opsional, maks 500 (default: 100) - Integer

  Untuk SonarQube Cloud:

  • enterpriseId - UUID perusahaan. Dapat dihilangkan hanya jika parameter 'favorite' disertakan dengan nilai true - String
  • q - Kueri pencarian opsional untuk memfilter portofolio berdasarkan nama - String
  • favorite - Harus true jika parameter 'enterpriseId' dihilangkan. Jika true, hanya mengembalikan portofolio yang difavoritkan oleh pengguna yang masuk. Tidak bisa true saat 'draft' true - Boolean
  • draft - Jika true, hanya mengembalikan draf yang dibuat oleh pengguna yang masuk. Tidak bisa true saat 'favorite' true - Boolean
  • pageIndex - Indeks opsional halaman yang akan diambil (default: 1) - Integer
  • pageSize - Ukuran opsional halaman yang akan diambil (default: 50) - Integer

Proyek

• search_my_sonarqube_projects - Temukan proyek SonarQube. Responsnya menggunakan penomoran halaman.

  • page - Nomor halaman opsional - String

• list_branches - Daftar cabang berumur panjang untuk proyek (mis. main, develop, master). Hanya mengembalikan cabang LONG di SonarQube Cloud dan entri BRANCH di SonarQube Server — nama yang aman untuk parameter branch di alat lain. Untuk pull request, gunakan list_pull_requests sebagai gantinya.

  • projectKey - Kunci proyek (mis. my_project) - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)

• list_pull_requests - Daftar semua pull request untuk proyek. Gunakan alat ini untuk menemukan pull request yang tersedia sebelum menganalisis cakupan, isu, atau kualitasnya. Mengembalikan kunci/ID pull request yang dapat digunakan dengan alat lain (mis., search_files_by_coverage, get_file_coverage_details). Untuk cabang berumur panjang, gunakan list_branches sebagai gantinya.

  • projectKey - Kunci proyek (mis. my_project) - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)

Gerbang Kualitas

• get_project_quality_gate_status - Dapatkan Status Gerbang Kualitas untuk proyek SonarQube.

  • analysisId - ID analisis opsional - String
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • projectId - ID proyek opsional - String
  • projectKey - Kunci proyek opsional - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String

• list_quality_gates - Daftar semua gerbang kualitas di SonarQube saya.

Aturan

• show_rule - Menampilkan informasi detail tentang aturan SonarQube.
  • key - Kunci aturan - String Wajib

Duplikasi

• search_duplicated_files - Cari file dengan duplikasi kode di proyek SonarQube. Secara default, secara otomatis mengambil semua file yang terduplikasi di semua halaman (maks 10.000 file). Hanya mengembalikan file dengan duplikasi.

  • projectKey - Kunci proyek - String Wajib (Diabaikan jika SONARQUBE_PROJECT_KEY ditentukan)
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String
  • pageSize - Jumlah hasil per halaman opsional untuk penomoran halaman manual (maks: 500). Jika tidak ditentukan, otomatis mengambil semua file yang terduplikasi - Integer
  • pageIndex - Nomor halaman opsional untuk penomoran halaman manual (dimulai dari 1). Jika tidak ditentukan, otomatis mengambil semua file yang terduplikasi - Integer

• get_duplications - Dapatkan duplikasi untuk file. Memerlukan izin Browse pada proyek file.

  • key - Kunci file - String Wajib
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String

Sumber

• get_raw_source - Dapatkan kode sumber sebagai teks mentah dari SonarQube. Memerlukan izin 'See Source Code' pada file.

  • key - Kunci file - String Wajib
  • branch - Nama cabang berumur panjang opsional (mis. main, develop). Gunakan list_branches untuk menemukan nama yang valid - String
  • pullRequest - Kunci/ID pull request opsional. Gunakan list_pull_requests untuk menemukan kunci yang valid - String

• get_scm_info - Dapatkan informasi SCM dari file sumber SonarQube. Memerlukan izin See Source Code pada proyek file.

  • key - Kunci file - String Wajib
  • commits_by_line - Kelompokkan baris berdasarkan komit SCM jika nilainya false, jika tidak tampilkan komit untuk setiap baris - String
  • from - Baris pertama yang akan dikembalikan. Dimulai dari 1 - Number
  • to - Baris terakhir yang akan dikembalikan (inklusif) - Number

Sistem

Catatan: Alat sistem hanya tersedia saat terhubung ke SonarQube Server.

• get_system_health - Dapatkan status kesehatan instans SonarQube Server. Mengembalikan GREEN (beroperasi penuh), YELLOW (dapat digunakan tetapi perlu perhatian), atau RED (tidak beroperasi).

• get_system_info - Dapatkan informasi rinci tentang konfigurasi sistem SonarQube Server termasuk status JVM, basis data, indeks pencarian, dan pengaturan. Memerlukan izin 'Administer'.

• get_system_logs - Dapatkan log sistem SonarQube Server dalam format teks biasa. Memerlukan izin administrasi sistem.

  • name - Nama opsional dari log yang akan diambil. Nilai yang mungkin: access, app, ce, deprecation, es, web. Default: app - String

• ping_system - Ping sistem SonarQube Server untuk memeriksa apakah masih aktif. Mengembalikan 'pong' sebagai teks biasa.

• get_system_status - Dapatkan informasi status tentang SonarQube Server. Mengembalikan status (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), versi, dan id.

Webhooks

• create_webhook - Buat webhook baru untuk organisasi atau proyek SonarQube. Memerlukan izin 'Administer' pada proyek yang ditentukan, atau izin 'Administer' global.

  • name - Nama webhook - String Wajib
  • url - URL webhook - String Wajib
  • projectKey - Kunci proyek opsional untuk webhook spesifik proyek - String
  • secret - Rahasia webhook opsional untuk mengamankan payload webhook - String

• list_webhooks - Daftarkan semua webhook untuk organisasi atau proyek SonarQube. Memerlukan izin 'Administer' pada proyek yang ditentukan, atau izin 'Administer' global.

  • projectKey - Kunci proyek opsional untuk mendaftarkan webhook spesifik proyek - String

Augmentasi Konteks

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Kesiapan Agentic

Catatan: Alat Kesiapan Agentic hanya tersedia di SonarQube Cloud dan memerlukan fitur untuk diaktifkan untuk organisasi Anda.

• start_agentic_readiness_assessment - Mulai penilaian kesiapan agentic untuk sebuah proyek. Segera kembali dengan status PENDING dan assessmentId. Gunakan get_agentic_readiness_assessment untuk melakukan polling hasil.

  • projectKey - Kunci proyek - String Wajib (Diabaikan saat SONARQUBE_PROJECT_KEY ditentukan)
  • branch - Cabang yang akan dinilai. Abaikan untuk menggunakan cabang default proyek - String

• get_agentic_readiness_assessment - Ambil hasil penilaian. Panggil ulang dengan assessmentId yang sama hingga statusnya COMPLETED, FAILED, atau INTERRUPTED. Saat selesai, mengembalikan level keseluruhan dan rincian per pilar dengan tindakan yang direkomendasikan dan bukti.

  • assessmentId - ID penilaian yang dikembalikan oleh start_agentic_readiness_assessment - String Wajib

• list_agentic_readiness_assessments - Daftarkan semua penilaian untuk sebuah proyek, terbaru terlebih dahulu. Gunakan get_agentic_readiness_assessment untuk hasil tingkat pilar penuh.

  • projectKey - Kunci proyek untuk mendaftarkan penilaian - String Wajib (Diabaikan saat SONARQUBE_PROJECT_KEY ditentukan)
  • branch - Filter penilaian berdasarkan nama cabang. Abaikan untuk mendaftarkan penilaian untuk semua cabang - String
  • pageIndex - Indeks halaman berbasis 1 (default: 1) - Number
  • pageSize - Jumlah item per halaman, maks 100 (default: 50) - Number

Contoh Prompt

Setelah Anda menyiapkan SonarQube MCP Server, berikut adalah beberapa contoh prompt untuk skenario dunia nyata yang umum:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Build

Disarankan menggunakan citra kontainer sonarsource/sonarqube-mcp.

Untuk menjalankan server sebagai JAR mandiri tanpa Docker, unduh rilis yang sudah dibangun dari repositori biner SonarSource. Setiap versi yang dirilis dipublikasikan di sana sebagai sonarqube-mcp-server-<version>.jar (misalnya, sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Pemecahan Masalah

Log aplikasi ditulis ke berkas STORAGE_PATH/logs/mcp.log secara default. Untuk menonaktifkan pencatatan berkas sepenuhnya, atur SONARQUBE_LOG_TO_FILE_DISABLED=true.

Masalah Umum

"Fitur tidak berfungsi" atau "Alat/fungsionalitas hilang"

Anda mungkin menjalankan citra Docker yang sudah usang. Docker menyimpan citra secara lokal, sehingga Anda tidak akan menerima pembaruan secara otomatis.

Solusi: Perbarui ke versi terbaru:

docker pull sonarsource/sonarqube-mcp

Setelah menarik citra terbaru, mulai ulang klien MCP Anda untuk menggunakan versi yang diperbarui.

Secara opsional, tambahkan flag --pull=always ke perintah docker run Anda untuk selalu memeriksa dan menarik versi terbaru:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

"Saya ingin menyematkan ke versi tertentu"

Jelajahi tag yang tersedia di sonarsource/sonarqube-mcp dan rujuk versi yang Anda inginkan:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

Dalam konfigurasi klien MCP Anda, gunakan sonarsource/sonarqube-mcp:<version> alih-alih sonarsource/sonarqube-mcp dan hapus --pull=always agar Docker tidak meningkatkan citra secara diam-diam.

Data dan telemetri

Server ini mengumpulkan data penggunaan anonim dan mengirimkannya ke SonarSource untuk membantu meningkatkan produk. Tidak ada kode sumber atau alamat IP yang dikumpulkan, dan SonarSource tidak membagikan data tersebut kepada pihak lain. Pengumpulan telemetri dapat dinonaktifkan dengan properti sistem atau variabel lingkungan berikut: TELEMETRY_DISABLED=true. Klik di sini untuk melihat contoh data yang dikumpulkan.

Lisensi

Hak Cipta 2025 SonarSource.

Dilisensikan di bawah SONAR Source-Available License v1.0. Menggunakan SonarQube MCP Server sesuai dengan dokumentasi ini merupakan Tujuan Non-Kompetitif dan oleh karena itu diizinkan di bawah SSAL.

Penggunaan SonarQube melalui MCP Anda diatur oleh Ketentuan Layanan SonarQube Cloud atau Syarat dan Ketentuan SonarQube Server, termasuk penggunaan Data Hasil semata-mata untuk tujuan pengembangan perangkat lunak internal Anda.