SonarQube MCP-Server: Quality Gates, Coverage und Issues

💡 Keine Installation? Nutze direkt cloud.anythingmcp.com. Melde dich an, klicke auf Connectors → SonarQube, füge deine Zugangsdaten ein, erzeuge einen MCP-API-Key — fertig. Kein Docker, kein git clone, kein lokaler Server.

SonarQube

Lass deine KI SonarQube lesen: Projekte, Quality-Gate-Status, Messwerte wie Coverage samt Verlauf, offene Issues nach Schweregrad und Softwarequalität, Analysen und Branches. SonarQube Server oder SonarQube Cloud, nur lesend, mit einem User-Token.

Einrichtung

Die Einrichtung dauert etwa 3 Minuten. Du brauchst einen SonarQube Server (der kostenlose Community Build funktioniert) oder einen SonarQube-Cloud-Account mit mindestens einem analysierten Projekt sowie ein User-Token.

1. Setze SONARQUBE_URL, ohne /api und ohne abschließenden Schrägstrich: https://sonarcloud.io für SonarQube Cloud in der EU-Region, https://sonarqube.us für SonarQube Cloud in der US-Region oder die Adresse deines SonarQube Servers, so wie du sie im Browser öffnest, inklusive eines eventuellen Context-Pfads (zum Beispiel https://sonar.example.com oder https://example.com/sonarqube).
2. Erstelle ein User-Token und füge es in SONARQUBE_TOKEN ein, ohne das Wort Bearer. Auf dem Server: Avatar → My Account → Security, dann ein Token vom Typ User generieren. In der Cloud: Avatar → My Account → Access tokens → Personal Tokens, dann ein Token generieren. Projekt- und globale Analyse-Tokens dienen zum Ausführen von Scans und funktionieren nicht mit der Web API.
3. Setze bei SonarQube Cloud SONARQUBE_ORGANIZATION auf den Key deiner Organisation, der in der URL sonarcloud.io/organizations/<key> steht. Die Cloud braucht ihn, um Projekte aufzulisten und Issues zu suchen. Auf dem Server lässt du ihn leer.
4. Installiere den Connector und führe sonarqube_list_projects aus: Es listet die Projekte auf, die das Token durchsuchen darf, mit den Projekt-Keys, die die anderen Tools verwenden.

Was gelesen wird: ob ein Projekt sein Quality Gate bestanden hat (OK oder ERROR, mit jeder fehlgeschlagenen Bedingung), aktuelle Messwerte wie coverage, duplicated_lines_density, ncloc und die software_quality_*-Issue-Zähler, wie sich diese Messwerte von Analyse zu Analyse verändert haben, Issues gefiltert nach Softwarequalität (SECURITY, RELIABILITY, MAINTAINABILITY), Schweregrad und Status, die Analysen des Projekts mit ihren Events sowie seine Branches mit letzter Analyse und Gate-Status. Alle 7 Tools sind nur lesend, und das Token entscheidet, welche Projekte die KI sieht.

Projekte und Branches: Die Tools erwarten den Projekt-Key (zum Beispiel payments-api, in der Cloud my-org_payments-api), nicht den Anzeigenamen. Ohne branch oder pullRequest lesen sie den Main-Branch. Der Community Build analysiert nur den Main-Branch.

Privates Netzwerk: Bei einem self-hosted AnythingMCP braucht ein SonarQube Server auf einem internen Host oder einer privaten IP diesen Host in SSRF_ALLOWED_HOSTS, sonst blockiert der Outbound-Schutz den Aufruf. AnythingMCP Cloud kann nur SonarQube Cloud oder einen SonarQube Server erreichen, der aus dem öffentlichen Internet erreichbar ist.

Limits: Listen-Tools liefern bis zu 500 Einträge pro Seite (1.000 bei sonarqube_get_measures_history). Die Issue-Suche liefert insgesamt höchstens 10.000 Ergebnisse, also grenze lieber die Filter ein, statt weiter zu blättern. SonarQube Cloud antwortet mit 429, wenn ein Token zu viele Anfragen sendet: Warte ein paar Minuten und versuche es erneut. SonarQube Server hat standardmäßig kein Rate Limit.

Häufige Fehler: 401 bedeutet, dass das Token falsch, abgelaufen oder widerrufen ist oder ein Analyse-Token statt eines User-Tokens ist. 403 bedeutet, dass dem Benutzer des Tokens die Berechtigung Browse für das Projekt fehlt. 404 bedeutet, dass der Projekt-Key, der Branch oder der Pull Request nicht existiert oder SONARQUBE_URL falsch ist. 400 nennt den fehlenden oder ungültigen Parameter, zum Beispiel eine fehlende Organisation in der Cloud.

Der Connector ändert nichts in SonarQube (keine Issue-Übergänge, Zuweisungen oder Kommentare, keine Änderungen an Quality Gates, Quality Profiles, Projekten oder Tokens) und deckt keine Security Hotspots, Portfolios und Applications, keine Web API v2, keine Administrations- und System-Endpunkte und keine reinen New-Code-Issue-Filter ab.

Voraussetzungen: SONARQUBE_URL, SONARQUBE_TOKEN

Den Connector lokal installieren

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Öffne http://localhost:3000/connectors/store, wähle SonarQube und füge die unter Voraussetzungen aufgeführten Umgebungsvariablen ein.

Verfügbare Tools

Nächste Schritte

• Mit Claude verbinden
• Mit ChatGPT verbinden