SonarQube Server 2025.6.1.117629 - 代码质量、安全与静态分析工具

news/2026/1/21 11:07:41/文章来源:https://www.cnblogs.com/sysin/p/19510552

SonarQube Server 2025 Release 6 (macOS, Linux, Windows) - 代码质量、安全与静态分析工具

Self-managed static analysis tool for continuous codebase inspection

请访问原文链接：https://sysin.org/blog/sonarqube/ 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

SonarQube Server

代码质量和安全性由您掌控

SonarQube Server
之前称为 SonarQube，本地部署的用于持续代码库检查的静态分析工具

保持 AI 生成的代码干净

释放 AI 编码助手的强大功能，而无需承担不良、不安全代码的风险。SonarQube Server 是您的干净代码解决方案，可以部署在任何地方、本地或云环境中。

SonarQube Server

受到 700 万开发者和 400,000 多个组织的使用和喜爱

提高代码质量的代码质量工具

您的代码是一项商业资产。通过 SonarQube Server 达到干净代码状态，实现代码的最高价值。

SonarQube Server 功能：

代码智能

利用 SonarQube 的深度洞察，更全面地了解您的代码库。通过减少认知负荷来提高开发人员的生产力。
与顶级 DevOps 平台集成

轻松加入项目。与 GitHub Actions、GitLab CI/CD、Azure Pipelines、Bitbucket Pipelines 和 Jenkins 集成，以自动触发分析并显示您工作地点的代码运行状况。
代码审查

通过 SonarQube 的质量阈值，防止不符合策略的代码进入生产环境。消除人工编写和 AI 生成代码中的问题，从而降低后期修复成本。
高性能和可操作性

按照您的方式进行部署，无论是在本地、在云中、作为服务器、使用 Docker 或 Kubernetes。多线程、多个计算引擎和特定于语言的加载可提供最佳性能。
顶级分析速度和准确性

在几分钟而不是几小时内收到可操作的清洁代码指标 (sysin)。Clean as You Code 会在您工作时检查较小的代码片段，为您提供有关新代码质量的准确反馈。
重要语言的关键安全规则

在您的开发工作流程中，在正确的时间和正确的位置无缝地发现编码问题。受益于 6,000 多个规则以及行业领先的 Java、C#、PHP、Python 等污点分析。
共享、统一的配置

设置特定的编码标准，使您的团队在代码健康方面保持一致并实现您的代码质量目标。另外，“边编程边学习” 可将开发人员的技能提升到同样高的水平。
用于 IDE 的 SonarQube

添加 SonarQube for IDE 扩展并将其连接到 SonarQube 服务器，以便在编码时动态查找编码问题，并确保您的团队遵循单一受监管的编码标准。
测量代码覆盖率

查看测试执行的代码库的百分比，以获得有关代码运行状况的宝贵见解。引导您到覆盖率低的领域进行改进。

Sonar 的人工智能

AI 辅助编码，由 SONAR 改进

新的 AI 代码保证

Sonar AI 代码保证是一个强大且简化的流程，用于通过结构化和全面的分析来验证 AI 生成的代码。这确保了每一段新代码在投入生产之前都符合最高的质量和安全标准。
AI CodeFix 简介

Sonar AI CodeFix 是一项强大的功能 (sysin)，可为代码分析解决方案 SonarQube Server 和 SonarQube Cloud 发现的问题提供代码修复建议。只需单击一下，您就可以获得有关如何解决一系列问题的建议，从而简化问题解决流程。

笔者提示：此类功能通常需要有效服务合同。

安全漏洞检测

增强的开发人员安全工具 | 安全与机密信息检测

静态代码分析

Sonar 的静态应用程序安全测试 (SAST) 引擎可检测代码中的安全漏洞，以便在构建和测试应用程序之前消除这些漏洞。使用 SAST 为复杂项目实现强大的应用程序安全性和合规性。
机密信息检测

SonarQube Server 包含一个强大的机密信息检测工具，这是用于检测和删除代码中机密信息的最全面的解决方案之一。与 SonarQube for IDE 一起使用，它可以防止机密信息泄露并成为严重的安全漏洞。
安全标准合规性

SonarQube Server 可帮助您遵守通用代码安全标准，例如 NIST SSDF。将 SonarQube Server 与 SonarQube for IDE 结合使用，可以自动检查项目代码是否存在安全漏洞，并提高整体代码质量。

基于开源，满足所有需求的版本

SonarQube Server 版本：

Community Build

免费开源，可提高开发效率和代码质量。
Developer Edition

小型团队和企业的基本功能。
Enterprise Edition

为现代企业提供更深入的见解和绩效。
Data Center Edition

任务关键型高可用性、可扩展性和性能。

什么是 LTA 版本？

LONG-TERM ACTIVE

SonarQube Server Long-Term Active (LTA)

为客户提供最佳体验、创新功能和世界一流的支持，以实现持续的业务成功。

什么是长期活跃（LTA）

LTA 是指每 12 个月发布一次的 SonarQube Server 版本（以前称为长期支持或 LTS）。它是产品的功能完整版本，将保持活动状态更长的时间。大型组织有时更愿意继续使用 LTA，因为他们无法经常升级，而是选择每 12 个月升级一次。

系统要求

操作系统要求：

Linux (x64, AArch64)。建议使用主流发行版：
- 参看：Linux 产品链接汇总
Windows (x64)。建议主流支持版本：
- Windows Server 2025，OVF
- Windows Server 2022，OVF
- Windows 11
- 更多：Windows 下载汇总
macOS (x64, AArch64)。建议主流支持版本：
- macOS Tahoe 26
- macOS Sequoia 15
- macOS Sonoma 14
- 更多：macOS 下载汇总 (系统、应用和教程)

建议运行在虚拟机环境中，推荐使用本站原创虚拟机模板 OVF，简单、精准、高效。

软件要求已更新：包含在文档中。

新增功能

SonarQube Server 2025.6：先沉浸（vibe），再以前所未有的速度验证

2025 年 12 月 11 日

SonarQube Server 2025.6

AI 已经将开发瓶颈从 “写代码” 转移到 “验证代码”。确保代码可靠、安全、可维护，已成为软件开发生命周期中最关键的一步。SonarQube Server 2025.6 加速了这一验证流程，将其直接嵌入您的日常工作流中。通过更深的集成、大幅加速的分析性能以及扩展的语言支持，本次发布帮助团队拥抱 “先沉浸、再验证（vibe, then verify）” 的理念，更自信地交付软件。

✅ 2025.6 新功能一览

加速工作流：新增 Jira Cloud 与 Slack 集成。
更快反馈：JavaScript/TypeScript 分析速度提升最高 40%。
即时修复：在 IDE 中新增 58 个 JavaScript/TypeScript 快速修复。
现代语言支持：全面支持 Swift（5.9–6.1）和 Python 3.14。
AI/ML 保障：为 PyTorch、Apex 和 Ruby 提供高效分析。
基础设施代码：新增 Go 和 Shell/Bash 的代码质量规则 (sysin)。
合规性：完整覆盖 MISRA C++:2023、OWASP Top 10 2025 与 STIG V6R3。
供应链安全：支持导入 CycloneDX 和 SPDX SBOM。

✅ 通过深度工作流集成加速您的团队

为了帮助团队跟上庞大的代码量，SonarQube 专注于消除摩擦、加快反馈循环。使用 JavaScript/TypeScript 的开发者将立即注意到在大型项目中最高 40% 的分析速度提升，从而缩短等待时间，加速代码评审。同时，SonarQube 让修复问题变得比以往更简单：58 个全新的 “快速修复” 让您在 IDE 中即可快速处理问题。此外，将代码质量融入组织工作流也变得前所未有的顺畅：全新的 Jira Cloud 集成可立即将代码问题转成可追踪的任务 (sysin)；Slack 集成则可在质量门状态变化时实时发送通知，让团队在构建无法通过质量门时可以更快速地响应。

✅ 无与伦比的语言与合规覆盖

SonarQube 2025.6 大幅扩展其在行业内对语言覆盖的领先优势，让您能自信采用新技术并满足最严苛的合规要求。SonarQube 现已为最新版本的 Python 3.14 与 Swift（5.9–6.1）提供全方位的代码安全与代码质量支持，包括 Swift 的 SAST 与秘钥检测。对于构建机器学习应用的开发者，SonarQube 提供 PyTorch 的 AI/ML 保障，帮助实现高效代码。在云原生领域，您将获得大量新的 Go 规则，以及 Shell/Bash 脚本的代码质量与代. 码安全分析。最后，在 SonarQube Server Enterprise 和 Data Center 版本中，SonarQube 提供对全部 179 条 MISRA C++:2023 指南、STIG V6R3 及新版 OWASP Top 10 2025 的完整覆盖，为您的合规与风险团队提供通过严格标准所需的保证。

✅ 通过 Advanced SAST 和 SBOM 保护您的供应链

在供应链攻击不断增加的当下，代码安全绝不能被事后处理。此次发布强化了 SonarQube “集成代码质量与代码安全” 的核心使命。SonarQube Advanced Security 中的 Advanced SAST 功能已针对 C#、Java 以及现在的 Python 的主流库进行了刷新与优化，以发现其他工具遗漏的复杂、隐蔽漏洞。为了让您对所有组件拥有全面可见性 (sysin)，SonarQube Advanced Security 现在支持导入 CycloneDX 和 SPDX 格式的 SBOM（软件物料清单），实现对任意组件的统一依赖性与漏洞报告。通过这些增强功能，SonarQube 确保您的组织能够以快速且自信的方式验证每一行代码——无论是开发者编写的还是 AI 生成的。

更多详细功能介绍，请查阅官方文档。