Уявіть: ви тиждень рефакторите модуль оплати, а через місяць інший розробник виправляє баг і випадково ламає сусідній функціонал. Або юніт-тести зелені, але в проді падає через гонку даних. Такі проблеми — наслідок відсутності системного контролю якості. SonarQube сканує кодову базу на запахи коду, дублювання, потенційні баги та вразливості. Quality Gate — автоматичний поріг: PR не мержиться, якщо аналіз не пройдено. Ми — інженери з досвідом понад десять років — впроваджуємо SonarQube на проектах будь-якого масштабу: від лендінгів до високонавантажених платформ.
Чому варто використовувати SonarQube?
Без статичного аналізу код з часом деградує. Регулярне сканування виявляє проблеми, які code review може пропустити. За даними Wikipedia, SonarQube підтримує понад 30 мов, включаючи JavaScript, TypeScript, Python, PHP, C#, Java. У наших проектах він допоміг скоротити кількість багів на 30% за перший квартал, а економія часу на code review склала близько 20 годин на місяць. Інтеграція з CI/CD — GitHub Actions, GitLab CI, Jenkins — робить перевірку автоматичною.
Як ми налаштовуємо SonarQube?
Ставимо self-hosted версію на Docker або розгортаємо SonarCloud для open-source. Налаштування включає: конфігурацію правил аналізу під ваш стек, налаштування метрик для Quality Gate, генерацію токенів та інтеграцію з репозиторієм. Приклад типового розгортання:
# Docker Compose services: sonarqube: image: sonarqube:10-community environment: SONAR_JDBC_URL: jdbc:postgresql://db:5432/sonar SONAR_JDBC_USERNAME: sonar SONAR_JDBC_PASSWORD: sonar ports: - "9000:9000" volumes: - sonarqube_data:/opt/sonarqube/data - sonarqube_logs:/opt/sonarqube/logs db: image: postgres:15 environment: POSTGRES_DB: sonar POSTGRES_USER: sonar POSTGRES_PASSWORD: sonar volumes: - sonar_db:/var/lib/postgresql/data volumes: sonarqube_data: sonarqube_logs: sonar_db: Конфігурація проекту
Вказуємо шляхи до вихідних кодів, тестів, звітів покриття та виключаємо шаблонні файли:
# sonar-project.properties sonar.projectKey=my-project sonar.projectName=My Project sonar.projectVersion=1.0 sonar.sources=src sonar.tests=src sonar.test.inclusions=**/*.test.ts,**/*.spec.ts sonar.exclusions=**/*.d.ts,**/node_modules/**,**/.next/** # TypeScript sonar.typescript.lcov.reportPaths=coverage/lcov.info # Дублювання: мінімум токенів для спрацювання sonar.cpd.ts.minimumTokens=100 GitHub Actions інтеграція
Додаємо workflow для автоматичного сканування при кожному пуші або PR:
# .github/workflows/sonarqube.yml name: SonarQube Analysis on: pull_request: branches: [main] push: branches: [main] jobs: sonar: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 with: fetch-depth: 0 # shallow clone відключає аналіз змін - uses: actions/setup-node@v4 with: node-version: 20 cache: npm - run: npm ci - name: Generate coverage report run: npm test -- --coverage --coverageReporters=lcov env: CI: true - name: SonarQube Scan uses: SonarSource/sonarqube-scan-action@v2 env: SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }} SONAR_HOST_URL: ${{ secrets.SONAR_HOST_URL }} - name: SonarQube Quality Gate check uses: SonarSource/sonarqube-quality-gate-action@v1 timeout-minutes: 5 env: SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }} Що таке Quality Gate і як його налаштувати?
Quality Gate визначає, які зміни вважаються прийнятними. Ми виставляємо жорсткі, але реалістичні пороги:
| Умова (для нових рядків) | Поріг | Статус |
|---|---|---|
| Coverage | < 70% | FAILED |
| Duplicated Lines | > 3% | FAILED |
| Maintainability Rating | < A | FAILED |
| Reliability Rating | < A | FAILED |
| Security Rating | < A | FAILED |
| Security Hotspots Reviewed | < 100% | FAILED |
Ці метрики дають повну картину технічного боргу.
SonarCloud: хмарний варіант
Якщо проект open-source або ви не хочете адмініструвати сервер, використовуємо SonarCloud. Він безкоштовний для публічних репозиторіїв, інтеграція — у кілька кліків:
# Безкоштовно для відкритих проектів - name: SonarCloud Scan uses: SonarSource/sonarcloud-github-action@v2 env: GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }} SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }} with: args: > -Dsonar.organization=my-org -Dsonar.projectKey=my-org_my-project -Dsonar.sources=src -Dsonar.typescript.lcov.reportPaths=coverage/lcov.info Порівняємо self-hosted vs SonarCloud: self-hosted дає повний контроль над даними та кастомізацію, але потребує адміністрування. SonarCloud швидше розгортається, але має обмеження щодо конфіденційності.
Ключові метрики SonarQube
| Метрика | Опис | Типовий поріг |
|---|---|---|
| Coverage | Відсоток покриття тестами | ≥ 80% |
| Duplications | Дубльовані блоки коду | ≤ 3% |
| Code Smells | Запахи коду (складність, когнітивна складність) | Рейтинг A |
| Bugs | Імовірні баги (null pointer, невірні умови) | 0 |
| Vulnerabilities | Потенційні вразливості | 0 |
| Security Hotspots | Потребують ручного review | 100% reviewed |
Поетапний процес впровадження
- Аналіз кодової бази — запускаємо перше сканування, фіксуємо поточні метрики та технічний борг.
- Налаштування профілю якості — підбираємо правила під ваш стек (React, Laravel, Python тощо).
- Конфігурація Quality Gate — встановлюємо пороги на основі ваших SLA.
- Інтеграція з CI/CD — підключаємо GitHub Actions, GitLab CI, Jenkins або Bitbucket Pipelines.
- Навчання команди — проводимо воркшоп з роботи зі звітами та виправлення знайдених проблем.
- Моніторинг та підтримка — налаштовуємо дашборди та алерти, гарантуємо працездатність два тижні після впровадження.
Типові помилки при налаштуванні
- Shallow clone в CI: відключає аналіз змін — використовуйте fetch-depth: 0.
- Пропуск виключень для згенерованих файлів: вони завищують кількість запахів.
- Відсутність coverage report: без нього Quality Gate не перевірить покриття.
- Занадто м'які пороги: Gate пропускає проблемний код.
Що входить у налаштування SonarQube?
Ми надаємо повний цикл робіт:
- Розгортання SonarQube (Docker / bare metal / хмара)
- Налаштування профілів якості та правил під ваш стек
- Конфігурація Quality Gate з урахуванням ваших вимог
- Інтеграція з CI/CD (GitHub Actions, GitLab CI, Jenkins, Bitbucket Pipelines)
- Створення дашбордів та алертів
- Документація щодо процесу та навчання команди
- Гарантія коректної роботи протягом двох тижнів після впровадження
Терміни та вартість
Базове налаштування займає від 1 до 2 робочих днів. Складні проекти з кількома репозиторіями та кастомними правилами — до 5 днів. Вартість розраховується індивідуально під кожен проект. Наші інженери впровадили SonarQube на 50+ проектах. Зв'яжіться з нами — ми оцінимо ваш код і запропонуємо оптимальне рішення. Отримайте консультацію прямо зараз.