SonarQube MCP Server: quality gate, coverage e issue

💡 Non vuoi installare nulla? Usa direttamente cloud.anythingmcp.com. Accedi, clicca su Connectors → SonarQube, incolla le tue credenziali, genera una chiave API MCP: fatto. Niente Docker, niente git clone, nessun server locale.

SonarQube

Lascia che la tua AI legga SonarQube: progetti, stato del quality gate, metriche come la coverage e il loro storico, issue aperte per severità e qualità del software, analisi e branch. SonarQube Server o SonarQube Cloud, sola lettura, con un token utente.

Configurazione

La configurazione richiede circa 3 minuti. Ti serve un SonarQube Server (va bene anche la Community Build gratuita) oppure un account SonarQube Cloud con almeno un progetto analizzato, e un token utente.

1. Imposta SONARQUBE_URL, senza /api e senza slash finale: https://sonarcloud.io per SonarQube Cloud nella regione UE, https://sonarqube.us per SonarQube Cloud nella regione USA, oppure l'indirizzo del tuo SonarQube Server così come lo apri nel browser, incluso l'eventuale context path (ad esempio https://sonar.example.com o https://example.com/sonarqube).
2. Crea un token utente e incollalo in SONARQUBE_TOKEN, senza la parola Bearer. Su Server: avatar → My Account → Security, quindi genera un token di tipo User. Su Cloud: avatar → My Account → Access tokens → Personal Tokens, quindi genera un token. I token di analisi di progetto e globali servono per eseguire le scansioni e non funzionano con la Web API.
3. Su SonarQube Cloud, imposta SONARQUBE_ORGANIZATION con la chiave della tua organizzazione, visibile nell'URL sonarcloud.io/organizations/<key>. Cloud ne ha bisogno per elencare i progetti e cercare le issue. Su Server, lascialo vuoto.
4. Installa il connettore ed esegui sonarqube_list_projects: elenca i progetti che il token può consultare, con le chiavi di progetto richieste dagli altri strumenti.

Cosa legge: se un progetto ha superato il quality gate (OK o ERROR, con ogni condizione non rispettata), le metriche correnti come coverage, duplicated_lines_density, ncloc e i conteggi di issue software_quality_*, come queste metriche sono cambiate da un'analisi all'altra, le issue filtrate per qualità del software (SECURITY, RELIABILITY, MAINTAINABILITY), severità e stato, le analisi del progetto con i relativi eventi, e i suoi branch con l'ultima analisi e lo stato del gate. Tutti i 7 strumenti sono di sola lettura, ed è il token a decidere quali progetti vede l'AI.

Progetti e branch: gli strumenti accettano la chiave del progetto (ad esempio payments-api, oppure my-org_payments-api su Cloud), non il nome visualizzato. Senza branch o pullRequest leggono il branch principale. La Community Build analizza solo il branch principale.

Rete privata: con un AnythingMCP self-hosted, un SonarQube Server su un host interno o con un IP privato richiede che quell'host sia incluso in SSRF_ALLOWED_HOSTS, altrimenti la protezione in uscita rifiuta la chiamata. AnythingMCP Cloud può raggiungere solo SonarQube Cloud o un SonarQube Server raggiungibile da internet pubblico.

Limiti: gli strumenti di elenco restituiscono fino a 500 elementi per pagina (1.000 per sonarqube_get_measures_history). La ricerca delle issue restituisce al massimo 10.000 risultati in totale, quindi restringi i filtri invece di scorrere ulteriori pagine. SonarQube Cloud risponde 429 quando un token invia troppe richieste: attendi qualche minuto e riprova. SonarQube Server non ha alcun rate limit per impostazione predefinita.

Errori comuni: 401 significa che il token è errato, scaduto o revocato, oppure che è un token di analisi invece di un token utente. 403 significa che l'utente del token non ha il permesso Browse sul progetto. 404 significa che la chiave del progetto, il branch o la pull request non esistono, oppure che SONARQUBE_URL è errato. 400 indica il parametro mancante o non valido, ad esempio l'organizzazione mancante su Cloud.

Il connettore non modifica nulla in SonarQube (nessuna transizione, assegnazione o commento sulle issue, nessuna modifica a quality gate, quality profile, progetti o token), e non copre security hotspot, portfolio e applicazioni, Web API v2, endpoint di amministrazione e di sistema, né i filtri delle issue solo sul codice nuovo.

Prerequisiti: SONARQUBE_URL, SONARQUBE_TOKEN

Installa il connettore in locale

curl -fsSL https://raw.githubusercontent.com/HelpCode-ai/anythingmcp/main/docker-compose.quickstart.yml -o docker-compose.yml
printf 'JWT_SECRET=%s\nENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" "$(openssl rand -hex 32)" > .env
docker compose up -d

Apri http://localhost:3000/connectors/store, scegli SonarQube e incolla le variabili d'ambiente elencate sotto Prerequisiti.

Strumenti disponibili

Prossimi passi

• Connetti a Claude
• Connetti a ChatGPT