SonarQube

SonarQube MCP Server

SonarQube MCP Server — это сервер Model Context Protocol (MCP), обеспечивающий бесшовную интеграцию с SonarQube Server или Cloud для контроля качества и безопасности кода. Он также поддерживает анализ фрагментов кода непосредственно в контексте агента.

Начните с быстрой настройки или узнайте больше о семействе продуктов SonarQube.

Быстрая настройка

🚀 Создание конфигурации

Самый быстрый способ начать — воспользоваться генератором конфигурации SonarQube MCP Server — интерактивным инструментом, который создает готовую конфигурацию для выбранного клиента AI-агента.

Настройка вручную

Если вы предпочитаете настраивать все самостоятельно, проще всего использовать образ контейнера sonarsource/sonarqube-mcp. Используйте sonarsource/sonarqube-mcp для автоматического обновления (с помощью --pull=always) или закрепите версию с помощью тега (например, sonarsource/sonarqube-mcp:1.19.0.2785), чтобы обеспечить воспроизводимость развертываний. Некоторые выпуски также помечены версией SonarQube Server, с которой они совместимы, в формате <SQS major>.<SQS minor>.<patch> (например, sonarsource/sonarqube-mcp:2026.5.0); номер исправления увеличивается с каждым выпуском MCP для этой версии SonarQube Server. Если вы хотите собрать образ локально, читайте далее.

Примечание: Хотя в примерах ниже используется docker, подойдет любая среда выполнения контейнеров, совместимая с OCI (например, Podman, nerdctl). Просто замените docker на предпочитаемый инструмент.

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      }
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      }
    }
  }
}

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_TOKEN \
  --env SONARQUBE_ORG=$SONAR_ORG \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

claude mcp add sonarqube \
  --env SONARQUBE_TOKEN=$SONAR_USER_TOKEN \
  --env SONARQUBE_URL=$SONAR_URL \
  -- docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_URL sonarsource/sonarqube-mcp

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_USER_TOKEN>", "SONARQUBE_ORG" = "<YOUR_ORG>" }

[mcp_servers.sonarqube]
command = "docker"
args = ["run", "--init", "--pull=always", "--rm", "-i", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_URL", "sonarsource/sonarqube-mcp"]
env = { "SONARQUBE_TOKEN" = "<YOUR_TOKEN>", "SONARQUBE_URL" = "<YOUR_SERVER_URL>" }

gemini extensions install https://github.com/SonarSource/sonarqube-agent-plugins

/mcp add

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_ORG, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_TOKEN>,SONARQUBE_ORG=<YOUR_ORG>
Tools: *

Server Name: sonarqube
Server Type: Local (Press 1)
Command: docker
Arguments: run, --init, --pull=always, --rm, -i, -e, SONARQUBE_TOKEN, -e, SONARQUBE_URL, sonarsource/sonarqube-mcp
Environment Variables: SONARQUBE_TOKEN=<YOUR_USER_TOKEN>,SONARQUBE_URL=<YOUR_SERVER_URL>
Tools: *

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_TOKEN",
        "SONARQUBE_ORG": "COPILOT_MCP_SONARQUBE_ORG"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "local",
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "--rm",
        "-i",
        "-e",
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "COPILOT_MCP_SONARQUBE_USER_TOKEN",
        "SONARQUBE_URL": "COPILOT_MCP_SONARQUBE_URL"
      },
      "tools": ["*"]
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_ORG",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_TOKEN>",
        "SONARQUBE_ORG": "<YOUR_ORG>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": [
        "run",
        "--init",
        "--pull=always",
        "-i",
        "--rm",
        "-e", 
        "SONARQUBE_TOKEN",
        "-e",
        "SONARQUBE_URL",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_TOKEN": "<YOUR_USER_TOKEN>",
        "SONARQUBE_URL": "<YOUR_SERVER_URL>"
      },
      "disabled": false,
      "autoApprove": []
    }
  }
}

{
  "sonarqube_token": "YOUR_SONARQUBE_TOKEN",
  "sonarqube_org": "SONARQUBE_ORGANIZATION_KEY",
  "docker_path": "DOCKER_PATH"
}

{
  "sonarqube_token": "YOUR_SONARQUBE_USER_TOKEN",
  "sonarqube_url": "YOUR_SONARQUBE_SERVER_URL",
  "docker_path": "DOCKER_PATH"
}

💡 Совет: Рекомендуем регулярно загружать последнюю версию образа или делать это перед отправкой сообщения о проблеме, чтобы использовать самые актуальные функции и исправления.

Установка вручную

Установить сервер SonarQube MCP вручную можно, скопировав следующий фрагмент в файл конфигурации серверов MCP:

• Для подключения к SonarQube Cloud:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

• Для подключения к SonarQube Server:

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Интеграция с SonarQube for IDE

SonarQube MCP Server можно интегрировать с SonarQube for IDE, чтобы улучшить рабочий процесс разработки и получать более качественный анализ кода и полезные сведения непосредственно в IDE.

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_ORG",
      "-e",
      "SONARQUBE_IDE_PORT",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>",
      "SONARQUBE_IDE_PORT": "<64120-64130>"
    }
  }
}

Конфигурация

В зависимости от среды необходимо задать определенные переменные среды.

Основные параметры

При запуске MCP Server необходимо добавить следующую переменную:

Подключение рабочей области (сокращение объёма контекста)

По умолчанию инструмент анализа analyze_code_snippet требует, чтобы агент передавал полное содержимое файла в качестве аргумента fileContent. При работе с большими файлами или анализе множества файлов в рамках сеанса это значительно увеличивает использование контекстного окна и стоимость.

Решение: подключите каталог проекта к контейнеру по пути /app/mcp-workspace. Если такое подключение обнаружено, сервер считывает файлы непосредственно с диска, используя аргумент filePath относительно проекта, — содержимое файлов не проходит через контекст агента.

{
  "args": [
    "run", "-i", "--rm", "--init", "--pull=always",
    "-e", "SONARQUBE_TOKEN",
    "-e", "SONARQUBE_ORG",
    "-v", "/path/to/your/project:/app/mcp-workspace",
    "sonarsource/sonarqube-mcp"
  ]
}

При подключённой рабочей области инструменты анализа считывают файлы напрямую с помощью filePath; fileContent не требуется.

В режиме stdio способ анализа выбирается при запуске (с учётом включённых наборов инструментов):

• SonarQube Cloud: анализ Vortex (run_advanced_code_analysis) при подключённой рабочей области и наличии хотя бы одной организации с соответствующими правами; в противном случае — локальный анализ. Для анализа Vortex принимаются только организации с соответствующими правами.
• SonarQube Server: анализ Vortex для экземпляров с соответствующими правами (требуется подключённая рабочая область); локальный анализ для экземпляров без Vortex.

При локальном анализе используется SonarQube for IDE, если он подключён, или analyze_code_snippet. Без подключённой рабочей области для анализа фрагментов требуется fileContent.

В Cloud stdio параметр SONARQUBE_ORG ограничивает проверку прав указанной организацией. Чтобы использовать фрагменты для всех организаций, задайте SONARQUBE_FORCE_LOCAL_ANALYSIS=true, включите набор инструментов analysis и перезапустите сервер. Эта настройка влияет только на Cloud stdio.

В режиме HTTP/HTTPS Cloud и Server поддерживают analyze_code_snippet, если при запуске MCP-сервера задан SONARQUBE_TOKEN и включён набор инструментов analysis. Токен запуска необходим для инициализации анализатора (загрузка плагинов Cloud выполняется анонимно); для получения профилей качества и активных правил используются токен вызывающего пользователя и, в Cloud, организация, выбранная для запроса. Без токена запуска анализ фрагментов и загрузка анализаторов отключены, даже при наличии SONARQUBE_FORCE_LOCAL_ANALYSIS=true. Права на Vortex не требуются.

Выборочное включение инструментов

При каждом разговоре MCP-клиенты загружают в контекст агента все включённые инструменты — их имена, описания и схемы входных данных. Ограничение этого списка с помощью SONARQUBE_TOOLSETS сокращает использование контекста и стоимость токенов каждого сеанса.

По умолчанию включены только важные наборы инструментов. Включайте дополнительные наборы только при необходимости.

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_TOOLSETS="analysis,issues,quality-gates" \
  sonarsource/sonarqube-mcp

docker run --init --pull=always -i --rm \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_ORG="<org>" \
  -e SONARQUBE_READ_ONLY="true" \
  sonarsource/sonarqube-mcp

SonarQube Cloud

Для stdio настройте следующие переменные среды:

Примеры:

• SonarQube Cloud: требуется только SONARQUBE_TOKEN. Если задан SONARQUBE_ORG, он фиксирует организацию.
• SonarQube Cloud US: задайте SONARQUBE_TOKEN и SONARQUBE_URL=https://sonarqube.us; SONARQUBE_ORG указывать необязательно.

SonarQube Server

Требования к версии: требуется SonarQube Server 2025.1 (SQS) или 25.1 (SonarQube Community Build) либо более поздняя версия. При запуске MCP-сервер считывает версию подключённого экземпляра и завершает работу с ошибкой, если версия слишком старая (например, устаревшие выпуски Server 9.x/10.x и Community Build 24.x не поддерживаются). На SonarQube Cloud эта проверка не распространяется.

⚠️ Для подключения к SonarQube Server требуется токен типа USER. При использовании токенов проекта или глобальных токенов подключение будет работать некорректно.

💡 Совет по настройке (режим stdio): если URL не указан, токен по умолчанию используется для SonarQube Cloud. Задайте SONARQUBE_URL для SonarQube Server или другого региона Cloud. Если задан SONARQUBE_ORG, он фиксирует организацию Cloud.

В stdio задание SONARQUBE_ORG фиксирует организацию Cloud. Аргументы инструмента organization исключаются из схем и отклоняются, как и projectKey, если задан SONARQUBE_PROJECT_KEY.

Если SONARQUBE_ORG не задан, агенты могут вызвать list_organizations, чтобы получить ключи, названия, идентификаторы и UUID организаций, доступных вашей учётной записи, а затем передать ключ в качестве необязательного аргумента organization инструментам, работающим с организациями. В stdio единственная обнаруженная организация сохраняется как организация по умолчанию; если организаций нет или их несколько, организация остаётся неопределённой. Аргумент инструмента применяется только к этому вызову и никогда не меняет обнаруженную организацию по умолчанию. Поиск профилей фрагментов и правил использует организацию, выбранную для данного вызова.

Для запросов токенов по HTTP/HTTPS параметр уровня сервера SONARQUBE_ORG по-прежнему поддерживается для совместимости, но считается устаревшим и вызывает предупреждение при запуске. Он фиксирует организацию для всех запросов и отклоняет заголовки организации клиента и аргументы инструмента organization. Если организация на сервере не настроена, необязательный заголовок клиента SONARQUBE_ORG фиксирует организацию для данного запроса и запрещает аргументы инструмента organization. Если заголовок не задан, используйте аргумент инструмента. Инструменты, которым требуется организация, сообщают, как её обнаружить, если все способы указания организации отсутствуют. Для обнаружения организаций и инструментов, API которых используют только идентификаторы ресурсов, аргумент организации не требуется. Поиск проблем с учётом организации и проверки разрешений для анализа рисков зависимостей используют выбранную организацию. Если настроен OAuth, параметр уровня сервера SONARQUBE_ORG отклоняется. Запросы OAuth также отклоняют заголовки организации; выбирайте организации с помощью аргументов инструментов.

Инструменты контекста Vortex используют настроенную или единственную обнаруженную при запуске организацию. Аргументы организации, переданные во время выполнения, не перенастраивают проксируемый контекстный движок; если организация при запуске не определена, этот прокси пропускается. Встроенный инструмент run_advanced_code_analysis проверяет наличие совокупного разрешения Vortex для организации, выбранной при каждом вызове.

Режимы транспорта

Спецификация MCP определяет два механизма транспорта: Stdio и Streamable HTTP. SonarQube MCP Server поддерживает оба:

Примечание: Streamable HTTP — это текущий сетевой транспорт MCP. Более старый HTTP-транспорт только с SSE из предыдущих версий MCP устарел и не поддерживается.

1. Stdio (по умолчанию — рекомендуется для локальной разработки)

Рекомендуемый режим для локальной разработки и конфигураций с одним пользователем, используемый большинством MCP-клиентов.

Пример — Docker с SonarQube Cloud:

{
  "mcpServers": {
    "sonarqube": {
      "command": "docker",
      "args": ["run", "--init", "--pull=always", "-i", "--rm", "-e", "SONARQUBE_TOKEN", "-e", "SONARQUBE_ORG", "sonarsource/sonarqube-mcp"],
      "env": {
        "SONARQUBE_TOKEN": "<your-token>",
        "SONARQUBE_ORG": "<your-org>"
      }
    }
  }
}

2. HTTP (Streamable HTTP)

Незашифрованный транспорт Streamable HTTP. Для многопользовательских развёртываний используйте HTTPS.

⚠️ Не рекомендуется: используйте Stdio для локальной разработки или HTTPS (Streamable HTTP) для многопользовательских производственных развёртываний.

• SONARQUBE_ORG — необязательный заголовок запроса, который задаёт организацию для этого запроса. Устаревшая конфигурация на уровне сервера задаёт её для всех запросов и отклоняет заголовки организации от клиента и аргументы инструментов, задающие организацию.
• Инструменты, учитывающие организацию, принимают необязательный аргумент organization, если организация не задана ни в конфигурации сервера, ни в заголовке запроса. Если организация уже задана, передача этого аргумента отклоняется.
• Если организация по умолчанию не задана, агенты могут вызвать list_organizations, используя только свой токен, а затем передать выбранный ключ последующим инструментам.

Клиенты также могут ограничить набор видимых инструментов для отдельного запроса, передав заголовки SONARQUBE_TOOLSETS и/или SONARQUBE_READ_ONLY; они применяют дополнительную фильтрацию поверх конфигурации на уровне сервера — область действия можно только сузить, но не расширить. Состояние сеанса между запросами не сохраняется.

Устарело: Для токенов SonarQube заголовок запроса SONARQUBE_TOKEN пока принимается для обратной совместимости, но будет удалён в будущей версии. Перейдите на Authorization: Bearer <token>.

3. HTTPS (Streamable HTTP поверх TLS) (рекомендуется для производственных развёртываний с несколькими пользователями)

Защищённый транспорт Streamable HTTP с шифрованием TLS. Требуются SSL-сертификаты.

✅ Рекомендуется для эксплуатации: Используйте HTTPS при развёртывании MCP-сервера для нескольких пользователей через Streamable HTTP. В целях безопасности сервер по умолчанию привязывается к 127.0.0.1 (localhost).

Настройка SSL-сертификата (необязательно):

Пример — Docker с SonarQube Cloud:

Примечание: При запуске в контейнере задайте SONARQUBE_HTTP_HOST=0.0.0.0, чтобы контейнер прослушивал все интерфейсы и работало сопоставление портов среды выполнения, а также задайте SONARQUBE_MCP_IN_CONTAINER=true, чтобы сообщить серверу, что он находится внутри контейнера. Официальный образ Docker задаёт последнее значение автоматически; при использовании других сред выполнения OCI (Podman, Kubernetes, Nomad и т. д.) задайте его самостоятельно. Флаг порта на стороне хоста определяет, кто может обращаться к серверу извне контейнера. SONARQUBE_HTTP_HOST=0.0.0.0 управляет только тем, где сервер прослушивает запросы внутри контейнера — CORS браузера по-прежнему разрешает источники localhost по умолчанию.

Для сервера, работающего локально на вашем компьютере (доступного только через localhost):

docker run --init --pull=always -p 127.0.0.1:8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Для сервера, доступного из сети (удалённые развёртывания):

docker run --init --pull=always -p 8443:8443 \
  -v $(pwd)/keystore.p12:/etc/ssl/mcp/keystore.p12:ro \
  -e SONARQUBE_TRANSPORT=https \
  -e SONARQUBE_HTTP_HOST=0.0.0.0 \
  -e SONARQUBE_HTTP_PORT=8443 \
  sonarsource/sonarqube-mcp

Конфигурация клиента (SonarQube Cloud):

При запросах токенов SonarQube можно задать SONARQUBE_ORG в заголовках клиента, чтобы зафиксировать организацию запроса, или не указывать его и выбирать организации через аргументы инструментов.

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Конфигурация клиента (SonarQube Server):

{
  "mcpServers": {
    "sonarqube-https": {
      "url": "https://your-server:8443/mcp",
      "headers": {
        "Authorization": "Bearer <your-token>",
        "SONARQUBE_TOOLSETS": "issues,quality-gates",
        "SONARQUBE_READ_ONLY": "true"
      }
    }
  }
}

Примечание: SONARQUBE_TOOLSETS и SONARQUBE_READ_ONLY — необязательные заголовки для отдельных запросов, которые сужают набор инструментов сервера для конкретного запроса. Они могут только сузить область действия — включить наборы инструментов или снять ограничения сверх заданных при запуске сервера нельзя.

Примечание: Для локальной разработки используйте транспорт Stdio (по умолчанию). HTTPS Streamable HTTP предназначен для производственных развёртываний с несколькими пользователями и надлежащими SSL-сертификатами.

OAuth для размещённого SonarQube Cloud

Поддержка OAuth предназначена для размещённой службы MCP SonarQube Cloud от Sonar. Используйте MCP-клиент с поддержкой OAuth и войдите в систему по запросу; настройки OAuth-сервера в конфигурации клиента не требуются. Клиенты, использующие токены SonarQube, по-прежнему поддерживаются.

Области действия mcp:tools:read и mcp:tools:write независимо управляют доступом к инструментам чтения и записи с учётом ваших разрешений Cloud. Используйте list_organizations и аргументы инструмента organization, чтобы выбрать организацию.

В самостоятельно размещённых развёртываниях по-прежнему используются токены SonarQube; OAuth для SonarQube Server пока не поддерживается.

Конечные точки службы

При работе в режиме Streamable HTTP (http или https) сервер предоставляет несколько не требующих аутентификации конечных точек службы в дополнение к конечной точке MCP по адресу /mcp. Они предназначены для взаимодействия между службами (мониторинг, оркестрация, проверка совместимости клиентов) и не требуют заголовка Authorization.

Эти конечные точки недоступны при использовании транспорта Stdio.

Пользовательские сертификаты

Если ваш SonarQube Server использует самоподписанный сертификат или сертификат частного центра сертификации (CA), можно добавить пользовательские сертификаты в контейнер, где они будут установлены автоматически.

docker run --init --pull=always -i --rm \
  -v /path/to/your/certificates/:/usr/local/share/ca-certificates/:ro \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run",
      "--init",
      "--pull=always",
      "-i",
      "--rm",
      "-v",
      "/path/to/your/certificates/:/usr/local/share/ca-certificates/:ro",
      "-e",
      "SONARQUBE_TOKEN",
      "-e",
      "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Прокси

SonarQube MCP Server поддерживает HTTP- и SOCKS5-прокси через стандартные системные свойства прокси Java.

Сертификат клиента (взаимный TLS)

Если SonarQube Server требует, чтобы клиенты предъявляли сертификат во время TLS-рукопожатия (взаимный TLS), можно предоставить хранилище ключей PKCS12, смонтировав его в контейнер и передав его расположение через JAVA_OPTS.

docker run --init --pull=always -i --rm \
  -v /path/to/client.p12:/etc/ssl/mcp/client.p12:ro \
  -e JAVA_OPTS="-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>" \
  -e SONARQUBE_TOKEN="<token>" \
  -e SONARQUBE_URL="<url>" \
  sonarsource/sonarqube-mcp

{
  "sonarqube": {
    "command": "docker",
    "args": [
      "run", "--init", "--pull=always", "-i", "--rm",
      "-v", "/path/to/client.p12:/etc/ssl/mcp/client.p12:ro",
      "-e", "JAVA_OPTS",
      "-e", "SONARQUBE_TOKEN",
      "-e", "SONARQUBE_URL",
      "sonarsource/sonarqube-mcp"
    ],
    "env": {
      "JAVA_OPTS": "-Djavax.net.ssl.keyStore=/etc/ssl/mcp/client.p12 -Djavax.net.ssl.keyStoreType=PKCS12 -Djavax.net.ssl.keyStorePassword=<passphrase>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

java \
  -Djavax.net.ssl.keyStore=/path/to/client.p12 \
  -Djavax.net.ssl.keyStoreType=PKCS12 \
  -Djavax.net.ssl.keyStorePassword=<passphrase> \
  -jar <path_to_sonarqube_mcp_server_jar>

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-Djavax.net.ssl.keyStore=/path/to/client.p12",
      "-Djavax.net.ssl.keyStoreType=PKCS12",
      "-Djavax.net.ssl.keyStorePassword=<passphrase>",
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

Инструменты

Анализ

• analyze_code_snippet — анализирует содержимое файла с помощью анализаторов SonarQube, чтобы выявить проблемы качества кода и безопасности. Для точности всегда анализирует содержимое файла целиком. При необходимости результаты можно отфильтровать по конкретному фрагменту кода.

  Устарело: analyze_code_snippet будет удалён в одном из будущих выпусков. Подключите SonarQube for IDE, чтобы использовать analyze_file_list, или включите анализ Vortex для своей организации, чтобы использовать run_advanced_code_analysis (см. ниже).

  Использование:

  • С подключённой рабочей областью (рекомендуется): передайте filePath (относительный путь проекта) — сервер считывает файл напрямую, не помещая его содержимое в контекстное окно агента
  • Без подключённой рабочей области: передайте полный fileContent для анализа всего файла (сообщаются все проблемы)
  • Добавьте необязательный codeSnippet, чтобы отфильтровать результаты: будут сообщаться только проблемы в пределах фрагмента (расположение фрагмента определяется автоматически)

  Параметры:

  • organization — ключ организации SonarQube Cloud — Необязательная строка, только для Cloud
  • projectKey — ключ проекта SonarQube — Обязательная строка (игнорируется, если задан SONARQUBE_PROJECT_KEY)
  • filePath — относительный путь файла в проекте для анализа (например, src/main/java/MyClass.java). Используется, если рабочая область подключена к /app/mcp-workspace — Строка
  • fileContent — Полное содержимое файла в виде строки. Обязательно, если рабочая область не подключена — Строка
  • codeSnippet — Фрагмент кода для фильтрации проблем (должен совпадать с содержимым fileContent) — Строка
  • language — Язык кода (например, 'java', 'python', 'js', 'ts', 'tsx', 'jsx') — Строка
  • scope — Область файла: MAIN или TEST (по умолчанию: MAIN) — Строка

  Поддерживаемые языки: Java, Kotlin, Python, Ruby, Go, JavaScript (js, jsx), TypeScript (ts, tsx), JSP, PHP, XML, HTML, CSS, CloudFormation, Kubernetes, Terraform, Azure Resource Manager, Ansible, Docker, обнаружение секретов

Если интеграция с SonarQube for IDE включена: (эти два инструмента входят в оба набора инструментов: analysis и ide)

• analyze_file_list — Анализ файлов в текущем рабочем каталоге с помощью SonarQube for IDE. Этот инструмент подключается к запущенному экземпляру SonarQube for IDE для анализа качества кода в списке файлов.

  • file_absolute_paths — Список абсолютных путей к анализируемым файлам — Обязательный String[]

• toggle_automatic_analysis — Включение или отключение автоматического анализа SonarQube for IDE. Если функция включена, SonarQube for IDE автоматически анализирует файлы при их изменении в рабочем каталоге. Если функция отключена, автоматический анализ не выполняется.

  • enabled — Включить или отключить автоматический анализ — Обязательный Boolean

В SonarQube Server stdio перечисляет инструменты контекста Vortex и run_advanced_code_analysis, если доступны оба хаба — CAG и A3S.

Если доступен анализ Vortex:

Требуется подключить рабочую область к /app/mcp-workspace

• run_advanced_code_analysis — Запуск анализа Vortex для одного файла. SonarQube Server использует заполнитель nil UUID.
  • organization — ключ организации SonarQube Cloud — Необязательная строка, только для Cloud
  • projectKey — Ключ проекта — Обязательная строка (игнорируется, если задан SONARQUBE_PROJECT_KEY)
  • branch — Имя ветки для получения контекста последнего анализа — Обязательная строка
  • filePath — Относительный путь файла в проекте для анализа (например, src/main/java/MyClass.java). — Обязательная строка
  • fileScope — Определяет область, к которой относится файл: 'MAIN' или 'TEST' (по умолчанию: MAIN) — Строка

Покрытие

• search_files_by_coverage — Поиск файлов проекта с сортировкой по покрытию (по возрастанию — сначала файлы с наименьшим покрытием). Этот инструмент помогает определить файлы, для которых нужно улучшить покрытие тестами.

  • projectKey — Ключ проекта для поиска — Обязательная строка (игнорируется, если задан SONARQUBE_PROJECT_KEY)
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка
  • maxCoverage — Максимальный порог покрытия (0–100). Возвращаются только файлы с покрытием <= этого значения — Число
  • pageIndex — Индекс страницы (начиная с 1, по умолчанию: 1) — Число
  • pageSize — Размер страницы (по умолчанию: 100, максимум: 500) — Число

• get_file_coverage_details — Получение построчной информации о покрытии конкретного файла, включая точные номера непокрытых строк и строк с частично покрытыми ветвлениями. Этот инструмент помогает точно определить, где добавить тестовое покрытие. Используйте его после поиска файлов с низким покрытием с помощью search_files_by_coverage.

  • key — Ключ файла (например, my_project:src/foo/Bar.java) — Обязательная строка
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка
  • from — Первая анализируемая строка (начиная с 1, по умолчанию: 1) — Число
  • to — Последняя анализируемая строка (включительно). Если не указана, возвращаются все строки — Число

Риски зависимостей

Примечание: для анализа рисков зависимостей требуется SonarQube Advanced Security. В SonarQube Server необходима версия 2025.4 Enterprise или выше.

• search_dependency_risks — Поиск проблем анализа состава программного обеспечения (рисков зависимостей) в проекте SonarQube с указанием выпусков, обнаруженных в анализируемом проекте, приложении или портфеле.
  • organization — ключ организации SonarQube Cloud — Необязательная строка, только для Cloud
  • projectKey — Ключ проекта — Обязательная строка (игнорируется, если задан SONARQUBE_PROJECT_KEY)
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка
  • pageIndex — Необязательный индекс страницы (начиная с 1, по умолчанию: 1) — Целое число
  • pageSize — Необязательный размер страницы. Должен быть больше 0 и не превышать 500 (по умолчанию: 100) — Целое число

Предприятия

Примечание: предприятия доступны только при подключении к SonarQube Cloud.

• list_enterprises — Список предприятий SonarQube Cloud, к которым у вас есть доступ. Используйте этот инструмент, чтобы узнать идентификаторы предприятий для работы с другими инструментами.
  • enterpriseKey — Необязательный ключ предприятия для фильтрации результатов — Строка

Проблемы

• change_sonar_issue_status — Изменение статуса проблемы SonarQube на "accept", "falsepositive" или "reopen".

  • key — Ключ проблемы — Обязательная строка
  • status — Новый статус проблемы — Обязательное перечисление {"accept", "falsepositive", "reopen"}
  • comment — Необязательный комментарий с объяснением изменения статуса — Строка

• search_sonar_issues_in_projects — Поиск проблем SonarQube в проектах моей организации.

  • organization — ключ организации SonarQube Cloud — Необязательная строка, только для Cloud
  • projectKeys — Необязательный список ключей проектов SonarQube — String[]
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка
  • severities — Необязательный список уровней серьёзности для фильтрации. Возможные значения: INFO, LOW, MEDIUM, HIGH, BLOCKER — String[]
  • impactSoftwareQualities — Необязательный список характеристик качества ПО для фильтрации. Возможные значения: MAINTAINABILITY, RELIABILITY, SECURITY — String[]
  • issueStatuses — Необязательный список статусов проблем для фильтрации. Возможные значения: OPEN, CONFIRMED, FALSE_POSITIVE, ACCEPTED, FIXED, IN_SANDBOX — String[]
  • tags — Необязательный список тегов проблем для фильтрации. Теги записываются строчными буквами — String[]
  • inNewCodePeriod — Возвращать только проблемы за период нового кода. Требуется ровно одна запись в projectKeys и files — Boolean
  • issueKey — Необязательный ключ проблемы для получения конкретной проблемы — Строка
  • pageIndex — Необязательный индекс страницы (начиная с 1, по умолчанию: 1) — Целое число
  • pageSize — Необязательный размер страницы. Должен быть больше 0 и не превышать 500 (по умолчанию: 100) — Целое число

Уязвимости безопасности

• search_security_hotspots — Поиск уязвимостей безопасности в проекте SonarQube.

  • projectKey — Ключ проекта или приложения — Обязательная строка (игнорируется, если задан SONARQUBE_PROJECT_KEY)
  • hotspotKeys — Список конкретных ключей уязвимостей безопасности через запятую для получения — String[]
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка
  • files — Необязательный список путей к файлам для фильтрации — String[]
  • status — Необязательный фильтр по статусу: TO_REVIEW, REVIEWED — Строка
  • resolution — Необязательный фильтр по результату проверки: FIXED, SAFE, ACKNOWLEDGED — Строка
  • sinceLeakPeriod — Фильтровать уязвимости, созданные после периода утечки (новый код) — Boolean
  • onlyMine — Показывать только уязвимости, назначенные мне — Boolean
  • pageIndex — Необязательный индекс страницы (начиная с 1, по умолчанию: 1) — Целое число
  • pageSize — Необязательный размер страницы. Должен быть больше 0 и не превышать 500 (по умолчанию: 100) — Целое число

• show_security_hotspot — Получение подробной информации о конкретной уязвимости безопасности, включая сведения о правиле, контекст кода, потоки и комментарии.

  • hotspotKey — Ключ уязвимости безопасности — Обязательная строка

• change_security_hotspot_status — Проверка уязвимости безопасности путём изменения её статуса. При установке статуса REVIEWED необходимо указать результат проверки (FIXED, SAFE или ACKNOWLEDGED).

  • hotspotKey — Ключ уязвимости безопасности — Обязательная строка
  • status — Новый статус — Обязательное перечисление {"TO_REVIEW", "REVIEWED"}
  • resolution — Результат проверки при статусе REVIEWED — Перечисление {"FIXED", "SAFE", "ACKNOWLEDGED"}
  • comment — Необязательный комментарий к проверке — Строка

Языки

• list_languages — Список всех языков программирования, поддерживаемых этим экземпляром SonarQube.
  • q — Необязательный шаблон для сопоставления с ключами/названиями языков — Строка

Показатели

• get_component_measures — Получение показателей SonarQube для компонента (проекта, каталога, файла).
  • projectKey — Ключ проекта — _Обязательная строка, если не настроен SONARQUBE_PROJECT_KEY
  • branch — Необязательное имя ветки для анализа ветки. Используйте list_branches, чтобы узнать допустимые имена — Строка
  • metricKeys — Необязательные ключи метрик для получения (например, ncloc, complexity, violations, coverage) — String[]
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы узнать допустимые ключи — Строка

Метрики

• search_metrics — Поиск метрик SonarQube.
  • pageIndex — Необязательный индекс страницы (начиная с 1, по умолчанию: 1) — Целое число
  • pageSize — Необязательный размер страницы. Должен быть больше 0 и не превышать 500 (по умолчанию: 100) — Целое число

Портфели

• list_portfolios — Список портфелей предприятий, доступных в SonarQube, с возможностью фильтрации и постраничного вывода.

  Для SonarQube Server:

  • q — Необязательный поисковый запрос для фильтрации портфелей по имени или ключу — Строка
  • favorite — Если true, возвращаются только избранные портфели — Boolean
  • pageIndex — Необязательный номер страницы (начиная с 1, по умолчанию: 1) — Целое число
  • pageSize — Необязательный размер страницы, максимум 500 (по умолчанию: 100) — Целое число

  Для SonarQube Cloud:

  • enterpriseId — UUID Enterprise. Можно не указывать, только если параметр 'favorite' задан значением true — String
  • q — Необязательный поисковый запрос для фильтрации портфелей по имени — String
  • favorite — Должен иметь значение true, если параметр 'enterpriseId' не указан. Если значение true, возвращаются только портфели, добавленные в избранное вошедшим в систему пользователем. Не может иметь значение true, если 'draft' имеет значение true — Boolean
  • draft — Если значение true, возвращаются только черновики, созданные вошедшим в систему пользователем. Не может иметь значение true, если 'favorite' имеет значение true — Boolean
  • pageIndex — Необязательный индекс страницы для получения (по умолчанию: 1) — Integer
  • pageSize — Необязательный размер страницы для получения (по умолчанию: 50) — Integer

Проекты

• list_organizations — Список организаций SonarQube Cloud, участником которых является пользователь, включая ключи, имена, идентификаторы и UUID. Используйте возвращённый ключ как organization в последующих инструментах.

• search_my_sonarqube_projects — Поиск проектов SonarQube. Ответ разбит на страницы.

  • organization — Ключ организации SonarQube Cloud — Необязательная строка, только Cloud
  • pageIndex — Необязательный индекс страницы, начиная с 1 (по умолчанию: 1) — Integer
  • pageSize — Необязательный размер страницы. Должен быть больше 0 и меньше или равен 500 (по умолчанию: 500) — Integer
  • q — Необязательный поисковый запрос для фильтрации проектов по имени (частичное совпадение) или ключу (точное совпадение) — String

• list_branches — Список проанализированных веток проекта.

  • SonarQube Cloud: возвращает долгоживущие (LONG) и краткоживущие (SHORT) ветки с полями type и mergeBranch. Необязательный фильтр branchTypes: ALL (по умолчанию), LONG или SHORT.
  • SonarQube Server: возвращает все проанализированные ветки (имя, Quality Gate, дата анализа). Фильтр type, mergeBranch или branchTypes не поддерживается.
  • Используйте возвращённые имена веток в качестве параметра branch для других инструментов. Для анализа запросов на слияние используйте вместо него list_pull_requests.
  • projectKey — Ключ проекта (например, my_project) — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • branchTypes — (только SonarQube Cloud) Необязательный фильтр: ALL (по умолчанию), LONG или SHORT — Enum {"ALL", "LONG", "SHORT"}

• list_pull_requests — Список всех запросов на слияние проекта. Используйте этот инструмент, чтобы найти запросы на слияние для анализа с декорированием PR (покрытие, проблемы, Quality Gate). Возвращает ключ/идентификатор запроса на слияние, который можно использовать с другими инструментами. Для анализа на основе веток без запросов на слияние используйте вместо него list_branches.

  • projectKey — Ключ проекта (например, my_project) — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)

Quality Gates

• get_project_quality_gate_status — Получить статус Quality Gate проекта SonarQube.

  • analysisId — Необязательный идентификатор анализа — String
  • branch — Необязательное имя ветки для анализа на основе веток. Используйте list_branches, чтобы найти допустимые имена — String
  • projectId — Необязательный идентификатор проекта — String
  • projectKey — Необязательный ключ проекта — String
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы найти допустимые ключи — String

• list_quality_gates — Список всех Quality Gates в моём SonarQube.

  • organization — Ключ организации SonarQube Cloud — Необязательная строка, только Cloud

Правила

• show_rule — Показать подробную информацию о правиле SonarQube.
  • organization — Ключ организации SonarQube Cloud — Необязательная строка, только Cloud
  • key — Ключ правила — Обязательная строка

Дублирование

• search_duplicated_files — Поиск файлов с дублированием кода в проекте SonarQube. По умолчанию автоматически получает все файлы с дублированием на всех страницах (не более 10 000 файлов). Возвращает только файлы с дублированием.

  • projectKey — Ключ проекта — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • branch — Необязательное имя ветки для анализа на основе веток. Используйте list_branches, чтобы найти допустимые имена — String
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы найти допустимые ключи — String
  • pageSize — Необязательное количество результатов на странице для ручной разбивки на страницы (макс.: 500). Если не указано, автоматически получает все файлы с дублированием — Integer
  • pageIndex — Необязательный номер страницы для ручной разбивки на страницы (начиная с 1). Если не указано, автоматически получает все файлы с дублированием — Integer

• get_duplications — Получить дублирования для файла. Требуется разрешение Browse для проекта файла.

  • key — Ключ файла — Обязательная строка
  • branch — Необязательное имя ветки для анализа на основе веток. Используйте list_branches, чтобы найти допустимые имена — String
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы найти допустимые ключи — String

Исходный код

• get_raw_source — Получить исходный код в виде обычного текста из SonarQube. Требуется разрешение 'See Source Code' для файла.

  • key — Ключ файла — Обязательная строка
  • branch — Необязательное имя ветки для анализа на основе веток. Используйте list_branches, чтобы найти допустимые имена — String
  • pullRequest — Необязательный ключ/идентификатор запроса на слияние. Используйте list_pull_requests, чтобы найти допустимые ключи — String

• get_scm_info — Получить сведения SCM об исходных файлах SonarQube. Требуется разрешение See Source Code для проекта файла.

  • key — Ключ файла — Обязательная строка
  • commits_by_line — Группировать строки по коммиту SCM, если значение false; иначе отображать коммиты для каждой строки — String
  • from — Первая возвращаемая строка. Нумерация начинается с 1 — Number
  • to — Последняя возвращаемая строка (включительно) — Number

Система

Примечание: системные инструменты доступны только при подключении к SonarQube Server.

• get_system_health — Получить состояние работоспособности экземпляра SonarQube Server. Возвращает GREEN (полностью работоспособен), YELLOW (работоспособен, но требует внимания) или RED (неработоспособен).

• get_system_info — Получить подробные сведения о конфигурации системы SonarQube Server, включая состояние JVM, базу данных, поисковые индексы и настройки. Требуются разрешения 'Administer'.

• get_system_logs — Получить системные журналы SonarQube Server в текстовом формате. Требуется разрешение на администрирование системы.

  • name — Необязательное имя журнала для получения. Возможные значения: access, app, ce, deprecation, es, web. По умолчанию: app — String

• ping_system — Отправить запрос системе SonarQube Server, чтобы проверить, работает ли она. Возвращает 'pong' в виде обычного текста.

• get_system_status — Получить сведения о состоянии SonarQube Server. Возвращает статус (STARTING, UP, DOWN, RESTARTING, DB_MIGRATION_NEEDED, DB_MIGRATION_RUNNING), версию и идентификатор.

Вебхуки

• create_webhook — Создать вебхук для организации или проекта SonarQube. Требуется разрешение 'Administer' для указанного проекта или глобальное разрешение 'Administer'.

  • organization — Ключ организации SonarQube Cloud — Необязательная строка, только Cloud
  • name — Имя вебхука — Обязательная строка
  • url — URL вебхука — Обязательная строка
  • projectKey — Необязательный ключ проекта для вебхука, относящегося к конкретному проекту — String
  • secret — Необязательный секрет вебхука для защиты его полезной нагрузки — String

• list_webhooks — Список всех вебхуков организации или проекта SonarQube. Требуется разрешение 'Administer' для указанного проекта или глобальное разрешение 'Administer'.

  • organization — Ключ организации SonarQube Cloud — Необязательная строка, только Cloud
  • projectKey — Необязательный ключ проекта для получения списка вебхуков, относящихся к конкретному проекту — String

Дополнение контекста

# macOS/Linux (Bash/Zsh)
export SONARQUBE_TOKEN="{<YourUserToken>}"

{
  "mcpServers": {
    "sonarqube-mcp-server": {
      "command": "docker",
      "args": [
        "run", "-i", "--rm", "--pull=always",
        "-e", "SONARQUBE_URL",
        "-e", "SONARQUBE_TOKEN",
        "-e", "SONARQUBE_ORG",
        "-e", "SONARQUBE_PROJECT_KEY",
        "-e", "SONARQUBE_TOOLSETS",
        "-v", "/ABSOLUTE/PATH/TO/YOUR/PROJECT:/app/mcp-workspace:rw",
        "sonarsource/sonarqube-mcp"
      ],
      "env": {
        "SONARQUBE_URL": "https://sonarcloud.io",
        "SONARQUBE_ORG": "<YourOrganizationKey>",
        "SONARQUBE_PROJECT_KEY": "<YourProjectKey>",
        "SONARQUBE_TOOLSETS": "cag"
      }
    }
  }
}

Готовность к работе с агентами

Примечание: инструменты готовности к работе с агентами доступны только в SonarQube Cloud и требуют включения этой функции для вашей организации.

В режиме stdio флаг функции проверяется при запуске. При работе через HTTP/HTTPS добавьте agentic-readiness в SONARQUBE_TOOLSETS сервера, чтобы включить инструменты.

• start_agentic_readiness_assessment — Запустить оценку готовности проекта к работе с агентами. Возвращает результат сразу со статусом PENDING и assessmentId. Используйте get_agentic_readiness_assessment, чтобы проверять результаты.

  • projectKey — Ключ проекта — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • branch — Ветка для оценки. Не указывайте, чтобы использовать ветку проекта по умолчанию — String

• get_agentic_readiness_assessment — Получить результат оценки. Повторно вызывайте инструмент с тем же assessmentId, пока статус не станет COMPLETED, FAILED или INTERRUPTED. По завершении возвращает общий уровень и разбивку по направлениям с рекомендуемыми действиями и подтверждающими данными.

  • assessmentId — Идентификатор оценки, возвращённый инструментом start_agentic_readiness_assessment — Обязательная строка

• list_agentic_readiness_assessments — Вывести список всех оценок проекта, начиная с самых новых. Используйте get_agentic_readiness_assessment, чтобы получить полные результаты по каждому направлению.

  • projectKey — Ключ проекта, для которого нужно вывести список оценок — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • branch — Фильтровать оценки по имени ветки. Не указывайте, чтобы вывести оценки для всех веток — String
  • pageIndex — Номер страницы, начиная с 1 (по умолчанию: 1) — Number
  • pageSize — Количество элементов на странице, максимум 100 (по умолчанию: 50) — Number

Архитектура

Примечание: включите эти инструменты с помощью SONARQUBE_TOOLSETS=architecture в режиме stdio или HTTP/HTTPS. Для SonarQube Cloud требуется план Team или Enterprise. Для SonarQube Server требуется версия 2026.6 или новее и редакция Developer или выше; в более старых версиях и Community Build инструменты недоступны. См. рабочие процессы архитектуры и восстановление.

• architecture_get — Просмотреть текущие зависимости, целевую архитектуру, директивы проекта или результаты (отклонения, дефекты и запахи кода).

  • target — current, intended, directives или findings; доступность зависит от сборки MCP и Server — Обязательное перечисление
  • projectKey — Ключ проекта — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • organization — Ключ организации SonarQube Cloud, если он не настроен — Необязательная строка, только для Cloud
  • component — Точный ключ текущего узла или путь целевой группы; если не указан, используется верхний уровень — String
  • depth — Только для текущей/целевой архитектуры: уровни ниже начального; по умолчанию 1 для текущей и все для целевой — Number
  • language — Только для текущей/целевой архитектуры/результатов: java, cs, js, ts или py — Enum
  • directiveId — Полная директива по UUID, включая описание; используйте вместо постраничного вывода — String
  • category / type — Только для результатов: фильтровать отклонения, дефекты или запахи кода по указанному типу — Enum
  • pageIndex — Только для директив/результатов: номер страницы, начиная с 1 (по умолчанию: 1) — Number
  • pageSize — Директивы: сводки, по умолчанию/максимум 50. Результаты: по умолчанию 50, максимум 1000; 0 — только подсчёт — Number

• architecture_set — Заменить целевую архитектуру целиком или создать, обновить и удалить директивы проекта. Доступно в поддерживаемых сборках Cloud и Server, если включена запись.

  • target — intended или directives — Обязательное перечисление
  • projectKey — Ключ проекта — Обязательная строка (Игнорируется, если определён SONARQUBE_PROJECT_KEY)
  • organization — Ключ организации SonarQube Cloud, если он не настроен — Необязательная строка, только для Cloud
  • model — Строка JSON: полный экспорт целевой архитектуры или массив models (неуказанное содержимое удаляется) либо изменения директив с массивами create, update и delete — Обязательная строка
  • dryRun — true для предварительного просмотра, false для применения — Обязательное логическое значение
  • revision — Только для целевой архитектуры: ревизия из architecture_get; по умолчанию используется ревизия полного экспорта. Обязательна при применении очистки — String

Примеры запросов

После настройки SonarQube MCP Server ниже приведены примеры запросов для распространённых сценариев из реальной практики:

My quality gate is failing for my project. Can you help me understand why and fix the most critical issues?

The quality gate on my feature branch is red. What do I need to fix to get it passing before I can merge to main?

I'm about to merge my pull request <#247> for the <web-app> project. Can you check if there are any quality issues I should address first?

We're deploying to production tomorrow. Can you check the quality gate status and alert me to any critical issues in this branch?

I want to reduce technical debt in my project. What are the top issues I should prioritize?

Our code coverage dropped below 70%. Can you identify which files have the lowest coverage and help me improve it?

I have 15 new code smells in my latest commit. Can you explain what they are and help me fix them?

SonarQube flagged a critical security vulnerability in <AuthController.java>. What's the issue and how do I fix it?

We need to pass a security audit. Can you check all our projects for security vulnerabilities and create a prioritized list of what needs to be fixed?

Are there any known vulnerabilities in our dependencies? Check this project for dependency risks.

I just wrote this authentication function. Can you analyze it for security issues and code quality problems before I commit?

Review the changes in <src/database/migrations> for any potential bugs or security issues.

Give me a health report for my project: quality gate status, number of bugs, Security Hotspots, and code coverage.

Compare code quality between our main branch and the develop branch. Are we introducing new issues?

What are the most common rule violations across all our projects? We might need to update our coding standards.

Show me all the issues that were marked as false positives in the last month. Are we seeing patterns that suggest our rules need adjustment?

Сборка

Рекомендуется использовать образ контейнера sonarsource/sonarqube-mcp.

Чтобы запустить сервер как автономный JAR без Docker, скачайте готовый выпуск из репозитория бинарных файлов SonarSource. Каждый выпущенный вариант публикуется там как sonarqube-mcp-server-<version>.jar (например, sonarqube-mcp-server-1.19.0.2785.jar).

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_ORG": "<org>"
    }
  }
}

{
  "sonarqube": {
    "command": "java",
    "args": [
      "-jar",
      "<path_to_sonarqube_mcp_server_jar>"
    ],
    "env": {
      "STORAGE_PATH": "<path_to_your_mcp_storage>",
      "SONARQUBE_TOKEN": "<token>",
      "SONARQUBE_URL": "<url>"
    }
  }
}

./gradlew clean build -x test

./gradlew :dependencies --write-locks
./gradlew :its:dependencies --write-locks

Устранение неполадок

По умолчанию журналы приложения записываются в файл STORAGE_PATH/logs/mcp.log. Чтобы полностью отключить запись журналов в файл, задайте SONARQUBE_LOG_TO_FILE_DISABLED=true.

Распространённые проблемы

«Версия сервера SonarQube не поддерживается»

При запуске MCP-сервер проверяет версию подключённого SonarQube Server. Если версия экземпляра ниже 2025.1 (SQS) или 25.1 (SQCB), запуск завершается ошибкой:

SonarQube server version is not supported, minimal version is SQS 2025.1 or SQCB 25.1

Решение: обновите SonarQube Server до поддерживаемого выпуска. Эта проверка выполняется только при подключении к SonarQube Server (SONARQUBE_URL без SONARQUBE_ORG), но не к SonarQube Cloud.

«Функция не работает» или «Отсутствуют инструменты/функциональность»

Возможно, вы используете устаревший образ Docker. Docker кэширует образы локально, поэтому обновления не загружаются автоматически.

Решение: обновите образ до последней версии:

docker pull sonarsource/sonarqube-mcp

После загрузки последнего образа перезапустите клиент MCP, чтобы использовать обновлённую версию.

При желании добавьте флаг --pull=always в команду docker run, чтобы всегда проверять наличие последней версии и загружать её:

docker run --init --pull=always -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp

«Я хочу закрепить конкретную версию»

Просмотрите доступные теги в sonarsource/sonarqube-mcp и укажите нужную версию:

docker pull sonarsource/sonarqube-mcp:1.19.0.2785

docker run --init -i --rm \
  -e SONARQUBE_TOKEN -e SONARQUBE_ORG \
  sonarsource/sonarqube-mcp:1.19.0.2785

В конфигурации клиента MCP используйте sonarsource/sonarqube-mcp:<version> вместо sonarsource/sonarqube-mcp и удалите --pull=always, чтобы Docker не обновлял образ незаметно.

Данные и телеметрия

Этот сервер собирает анонимные данные об использовании и отправляет их в SonarSource, чтобы помочь улучшить продукт. Исходный код и IP-адрес не собираются, а SonarSource никому не передаёт эти данные. Сбор телеметрии можно отключить с помощью следующего системного свойства или переменной среды: TELEMETRY_DISABLED=true. Нажмите здесь, чтобы посмотреть пример собираемых данных.

Лицензия

Copyright 2025 SonarSource.

Лицензировано на условиях SONAR Source-Available License v1.0. Использование SonarQube MCP Server в соответствии с этой документацией является Неконкурентной целью и поэтому разрешено в рамках SSAL.

Использование SonarQube через MCP регулируется Условиями предоставления услуг SonarQube Cloud или Условиями использования SonarQube Server, включая использование данных результатов исключительно для внутренних целей разработки программного обеспечения.