home of {}
A hiba ott derüljön ki, ahol keletkezik.
Statikus kódelemzéssel és független ellenőrzéssel segítünk, hogy az ember és az AI által írt kód is biztonságos legyen.
Beszéljünk a projektrőlGörgess tovább
Kiválasztott terület
Implementáció
Telepítés saját infrastruktúrára, CI/CD- és DevOps-integráció, minőségi kapuk.
SonarQube Server
saját infrastruktúrán
SonarQube Cloud
SaaS
SonarQube for IDE
korábban SonarLint
A SonarQube-ról
Mit csinál a
SonarQube?
A SonarQube statikus kódelemző platform: a forráskódot futtatás nélkül vizsgálja, és minden módosításnál megmutatja a hibákat, a sérülékenységeket és a karbantarthatósági problémákat. Ugyanazzal a mércével ellenőrzi az ember és az AI által írt kódot.
Nem egy utólagos audit, hanem a fejlesztési folyamat része: a fejlesztő gépétől a pull requesten és a CI-on át a kiadásig mindenhol ott van, és a minőségi kapu (Quality Gate) dönti el, mehet-e tovább a kód.
Hol lép be a fejlesztésbe?
-
01 · IDE
2 új hiba a fájlbanKódolás közben
A SonarQube for IDE már gépelés közben jelzi a problémát a VS Code-ban, a JetBrains IDE-kben, a Visual Studióban vagy az Eclipse-ben.
-
02 · Pull request
Megjegyzés a pull requestbenPull requestben
Az elemzés eredménye közvetlenül a GitHub, GitLab, Azure DevOps vagy Bitbucket pull requestben jelenik meg.
-
03 · CI/CD
Új kód: 0 új hibaMinden buildnél
Minden buildnél lefut az elemzés a teljes kódon; az új kód eredményét külön mutatja, a minőségi kapu pedig az új kódra ír elő feltételeket (Clean as You Code).
-
04 · Quality Gate
Quality Gate: PassedA kapunál
Ha az új kód nem felel meg a beállított feltételeknek, a kapu megállítja a beolvasztást vagy a kiadást.
Mit talál?
Néhány példa arra, amit a SonarQube megjelöl, mielőtt éles rendszerbe kerülne.
- Bug
Hibák, amelyek futás közben rossz működést okoznak
if (user = null) { … } - Vulnerability
Sérülékenységek: SQL injection, XSS, path traversal
"SELECT … WHERE id=" + id - Dependency
Sérülékeny vagy kártékony függőségek (Advanced Security)
"lodash": "4.17.15" - Secret
Kódba égetett jelszavak, kulcsok és tokenek
AWS_KEY = "AKIA4XK…" - Code smell
Karbantarthatósági problémák és technikai adósság
function process() { /* 340 sor */ } - Metrics
Tesztlefedettség és kódduplikáció
coverage 62% · duplication 4.1%
Melyik kiadás kell önöknek?
A SonarQube Server három kiadásban érhető el (Developer, Enterprise, Data Center), mellette önálló termék az ingyenes, nyílt forrású SonarQube Community Build. A licenc példányonként, évente, a kódsorok (LOC) száma alapján jár; a példány kódsorszáma a projektek legnagyobb ágának vagy pull requestjének összege.
Community Build
- Ár
- Ingyenes, nyílt forrású
- Kinek ajánlott?
- Kis csapatok, kipróbálás
- Nyelvek
- 18 (+ titokkeresés)
- Ág- és pull request-elemzés
- —
- Taint-elemzés (injection sérülékenységek)
- —
- Titokkeresés (jelszavak, kulcsok)
- AI Code Assurance
- —
- AI CodeFix
- —
- Portfóliók, vezetői és megfelelési riportok (OWASP, CWE, PCI DSS, CRA…)
- —
- Advanced Security (SCA, SBOM)
- —
- Magas rendelkezésre állás, horizontális skálázás
- —
Developer
- Ár
- Éves licenc, LOC alapján
- Kinek ajánlott?
- 100 ezer sortól
- Nyelvek
- 40 (+ C, C++, Objective-C, Swift, ABAP, PL/SQL, T-SQL…)
- Ág- és pull request-elemzés
- Taint-elemzés (injection sérülékenységek)
- Titokkeresés (jelszavak, kulcsok)
- AI Code Assurance
- AI CodeFix
- —
- Portfóliók, vezetői és megfelelési riportok (OWASP, CWE, PCI DSS, CRA…)
- —
- Advanced Security (SCA, SBOM)
- —
- Magas rendelkezésre állás, horizontális skálázás
- —
Enterprise
- Ár
- Éves licenc, LOC alapján
- Kinek ajánlott?
- 1 millió sortól
- Nyelvek
- 48 (+ COBOL, Apex, PL/I, RPG, JCL, VB6…)
- Ág- és pull request-elemzés
- Taint-elemzés (injection sérülékenységek)
- Titokkeresés (jelszavak, kulcsok)
- ✓ + saját minták
- AI Code Assurance
- AI CodeFix
- Portfóliók, vezetői és megfelelési riportok (OWASP, CWE, PCI DSS, CRA…)
- Advanced Security (SCA, SBOM)
- Kiegészítő
- Magas rendelkezésre állás, horizontális skálázás
- —
Data Center
- Ár
- Éves licenc, LOC alapján
- Kinek ajánlott?
- Nagy, kritikus környezetek
- Nyelvek
- 48
- Ág- és pull request-elemzés
- Taint-elemzés (injection sérülékenységek)
- Titokkeresés (jelszavak, kulcsok)
- ✓ + saját minták
- AI Code Assurance
- AI CodeFix
- Portfóliók, vezetői és megfelelési riportok (OWASP, CWE, PCI DSS, CRA…)
- Advanced Security (SCA, SBOM)
- Kiegészítő
- Magas rendelkezésre állás, horizontális skálázás
Állapot: 2026. november, a Sonar nyilvános termékoldalai alapján. Árat a Sonar nem tesz közzé: kérjen ajánlatot tőlünk, és segítünk kiválasztani a megfelelő kiadást.
Ajánlatot kérekA saját kód alatti rétegek is
A saját kód csak a felső réteg. Alatta ott vannak a behúzott könyvtárak és azok tranzitív függőségei. A SonarQube Advanced Security fizetős kiegészítő az Enterprise kiadástól, és ezt a réteget teszi láthatóvá.
SCA – függőségelemzés
Ismert sérülékenységek a direkt és a tranzitív függőségekben, kártékony csomagok és a licencszabályokat sértő licencek. Az elérhetőség-elemzés (Java, Kotlin, Python, C# és VB.NET nyelven) megmutatja, meghívja-e a kód a sérülékeny függvényt.
SBOM – szoftver-anyagjegyzék
A teljes függőségkészlet exportja CycloneDX vagy SPDX formátumban, például a DORA vagy a CRA szerinti nyilvántartáshoz.
Advanced SAST
Az elemzést kiterjeszti a nyílt forrású függőségek kódjára, és vizsgálja a saját és a külső kód kölcsönhatását. Nyelvek: JavaScript/TypeScript, Java, C#/.NET.
A forráskód bent marad
Az alapértelmezett, helyi feldolgozású módban a manifest- és lockfájlokat a saját SonarQube Server dolgozza fel, a Sonar felé csak a sérülékenység- és licencadatok lekérdezése megy. A választható felhős módban a manifest- és lockfájlok a Sonarhoz kerülnek, forráskód ebben a módban sem. Az állandó ágakat a rendszer automatikusan újraelemzi új függőségi kockázatokra: alapból naponta, de ez hetire állítható vagy kikapcsolható.
AI a SonarQube-ban – független alapon
A SonarQube Server 2026.5 a következő AI-funkciókat kínálja, mindegyiket a fejlesztési folyamat más pontján.
- 01 Kódolás
- 02 Javítás az IDE-ben
- 03 Pull request
- 04 Fő ág és backlog
01 · Kódolás
Sonar Vortex
Az AI-ügynöknek írás előtt projektkontextust ad, írás után ellenőriz.
01 · Kódolás
MCP Server
Összeköti az AI-ügynököt a SonarQube-bal; csak olvasási módban is futtatható.
02 · Javítás az IDE-ben
AI CodeFix
Egy-egy hibára javítást javasol. A modell választható, akár saját, internet nélkül futó modell is.
03 · Pull request
AI Code Assurance
Az AI-kódot tartalmazóként megjelölt projektekre AI-ra szabott minőségi kaput ad.
04 · Fő ág és backlog
Hunter Agent
Logikai és jogosultságkezelési hibákat keres, amelyeket a szabályalapú elemzés nem lát.
04 · Fő ág és backlog
Remediation Agent
Kijavítja a hibát és pull requestet nyit; a beolvasztásról ember dönt.
Az alap: a SonarQube determinisztikus elemzése
Szabályalapú, megismételhető, a kód szerzőjétől független. Az AI-eszközök erre épülnek, nem helyettesítik.
A külön előfizetéses eszközök az Enterprise vagy Data Center kiadás mellé vehetők, és a saját infrastruktúrán futnak. A Hunter és a Remediation Agent futás közben kódot és issue-adatokat küld a beállított LLM-szolgáltatónak.
Így néz ki a gyakorlatban
Képek a saját SonarQube Server 2026.5 példányunkból, valódi projekteken. A projektneveket kitakartuk.
Projekt-áttekintés
Egy pillantásra látszik a projekt állapota: minőségi kapu, AI Code Assurance, sérülékenységek, hibák, karbantarthatóság, duplikáció és függőségi kockázatok.
Ott van, ahol a fejlesztők dolgoznak
A SonarQube a fejlesztés minden pontján ugyanazt a mércét alkalmazza: a szerkesztőben, az AI-ügynökben és a pull requestben is.
Kódolás közben
Fejlesztői környezetek
A SonarQube for IDE (korábban SonarLint) már gépelés közben jelzi a hibát; a szerverhez kapcsolva (connected mode) a szerverrel azonos szabályokkal.
-
VS Code -
JetBrains -
Visual Studio -
Eclipse -
Windsurf - + és még sok más
AI-ügynökök
MCP Server és Sonar Vortex
Az AI kódoló ügynök a SonarQube elemzésére támaszkodva ír, és a saját munkáját is vele ellenőrzi.
-
Claude Code -
Cursor -
Codex -
GitHub Copilot -
Antigravity -
Devin
Pull request és build
DevOps platformok és CI
Az eredmény a pull requestben jelenik meg, a Quality Gate pedig megállítja a nem megfelelő kódot.
-
GitHub -
GitLab -
Azure DevOps -
Bitbucket -
Jenkins - + és még sok más
Előnyök, amik számítanak
Biztonság & Elemzés
Fejlesztés & Hatékonyság
A Szitár-Net Kft. a SonarSource SA hivatalos, Silver minősítésű partnere Magyarországon.
Tudástár
Friss cikkek
Ami a SonarQube-ot különlegessé teszi
40+ nyelv, keretrendszer és IaC platform
Szupergyors elemzés
Rövidebb fejlesztési ciklusok
Hatékonyabb kódellenőrzés a jobb munka érdekében
Felhőalapú DevOps platform integráció
A fejlesztők a fókuszban!
tisztább kód
kevesebb karbantartás
kevesebb kódolás
több innováció
alacsonyabb kockázat
több reputáció
