SonarQube

SonarQubeは、コードを実行せずに解析します。バグ、セキュリティ上の脆弱性、コードにハードコードされた秘密情報、コードスメル、重複、テストのカバレッジを調べ、問題をダッシュボードとプルリクエストに報告します。チームは「新しい重大なバグを残さない」といった品質ゲートを定義できます。コードがその基準を満たさない場合はマージを止められるので、開発の早い段階で問題を見つけられます。

GitHub Actions、GitLab、Jenkins、Azure DevOpsなどのCI/CDシステムと連携します。SonarLintを通じてIDEとも連携し、入力中に問題をハイライトします。AI機能には、見つけた問題について変更を提案するCodeFixがあります。また、AIが書いたコードをチェックする機能もあります。アシスタントによるコードが増えるなかで注目されている分野です。非常に多くの言語やフレームワークに対応しています。

SonarQubeには、自己ホスト用の無料のコミュニティ版、より多くの言語と機能を備えた有料版、ホスト型のSonarQube Cloudがあります。静的解析は誤検知を出すことがあるため、チームはルールを調整する必要があります。競合にはSnyk、Checkmarx、Semgrep、Veracode、GitHubのCodeQLがあります。CodacyやDeepSourceも、ほかの品質ツールとして挙げられます。SonarQubeは、継続的なコード品質のための標準的な選択肢です。