Garantir a qualidade do código é um dos desafios mais importantes no desenvolvimento de software moderno. Bugs, vulnerabilidades de segurança e problemas de manutenção podem comprometer a estabilidade de uma aplicação.

O SonarQube é uma das ferramentas mais utilizadas para análise estática de código (Static Code Analysis). Ele permite identificar automaticamente problemas no código, como bugs, vulnerabilidades e code smells, ajudando equipes de desenvolvimento a manter um padrão elevado de qualidade. No primeiro artigo desta série O que é SonarQube? Guia Introdutório para Análise de Código em Node.js mostrei como usar o SonarQube para identificar bugs, vulnerabilidades e melhorar a qualidade do código em projetos Node.js.

Neste tutorial você vai aprender:

• Como instalar o SonarQube
• Como configurar a ferramenta
• Como analisar um projeto Node.js
• Como interpretar os resultados da análise

O que você precisa antes de começar

Antes de instalar o SonarQube, verifique se você possui os seguintes requisitos:

• Node.js instalado
• Java 17 ou superior
• Docker (opcional, mas recomendado)
• Um projeto Node.js para análise

Ferramentas recomendadas:

• Git
• npm ou yarn
• Docker Desktop

Método 1: Instalando o SonarQube com Docker (mais fácil)

A forma mais simples de executar o SonarQube é utilizando Docker.

Passo 1: Executar o container

docker run -d --name sonarqube -p 9000:9000 sonarqube:lts

Isso irá:

• baixar a imagem do SonarQube
• iniciar o servidor local
• disponibilizar o painel em:

http://localhost:9000

Passo 2: Acessar o painel

Abra o navegador e acesse:

http://localhost:9000

Login padrão:

Usuário: admin
Senha: admin

Após o primeiro login, o sistema solicitará alteração da senha.

Criando um projeto no SonarQube

Depois de acessar o painel:

1. Clique em Create Project
2. Escolha Manually
3. Defina:

• Project Key
• Display Name

Exemplo:

nodejs-api

Gerando um token de autenticação

O SonarQube utiliza tokens de acesso para autenticação.

Durante a criação do projeto:

1. Clique em Generate Token
2. Copie o token gerado
3. Guarde para usar no terminal

Exemplo:

sqp_123456789abcdef

Instalando o SonarScanner

O SonarScanner é a ferramenta que envia o código para análise.

Instale globalmente:

npm install -g sonarqube-scanner

Ou usando npx:

npx sonarqube-scanner

Configurando o projeto Node.js

Na raiz do projeto, crie o arquivo:

sonar-project.properties

Conteúdo exemplo:

sonar.projectKey=nodejs-api
sonar.projectName=NodeJS API
sonar.projectVersion=1.0sonar.sources=src
sonar.language=jssonar.host.url=http://localhost:9000
sonar.login=SEU_TOKEN_AQUI

Executando a análise de código

Agora execute o scanner:

sonar-scanner

Ou:

npx sonarqube-scanner

O scanner irá:

• analisar os arquivos
• detectar problemas
• enviar os resultados para o servidor SonarQube.

Visualizando os resultados da análise

Depois da execução, volte ao painel do SonarQube.

Você verá informações como:

Bugs

Problemas que podem causar comportamento incorreto no sistema.

Vulnerabilidades

Falhas de segurança no código.

Code Smells

Problemas de manutenção e boas práticas.

Technical Debt

Tempo estimado necessário para corrigir os problemas.

Exemplo de problemas detectados

O SonarQube pode identificar situações como:

Variáveis não utilizadas

const result = calculateValue();

Se a variável não for usada, o SonarQube irá sinalizar.

Código duplicado

Trechos repetidos aumentam a complexidade do sistema.

Problemas de segurança

Exemplo:

eval(userInput);

Isso pode gerar vulnerabilidades.

Integrando SonarQube com CI/CD

Uma das maiores vantagens do SonarQube é rodar automaticamente no pipeline.

Exemplo com GitHub Actions:

name: SonarQube Analysison: [push]jobs:
  sonar:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3      - name: Run SonarQube Scanner
        run: |
          npm install
          npx sonarqube-scanner

Assim, cada commit passa por análise automática.

Boas práticas ao usar SonarQube

Para obter melhores resultados:

Defina Quality Gates

Regras mínimas de qualidade antes de aceitar um merge.

Exemplo:

• cobertura mínima de testes
• zero vulnerabilidades críticas

Analise Pull Requests

Execute a análise antes de aprovar código.

Monitore dívida técnica

Evite que problemas se acumulem ao longo do tempo.

Vantagens de usar SonarQube em projetos Node.js

Principais benefícios:

• detecção automática de bugs
• identificação de vulnerabilidades
• melhoria na qualidade do código
• redução da dívida técnica
• integração com pipelines CI/CD

Conclusão

O SonarQube é uma ferramenta poderosa para garantir qualidade e segurança no desenvolvimento de software. Ao integrá-lo em projetos Node.js, equipes conseguem detectar problemas rapidamente, melhorar a manutenção do código e reduzir riscos em produção.

Com poucos passos é possível instalar a ferramenta, configurar a análise e começar a monitorar a qualidade do código de forma contínua.

Livros recomendados para melhorar a qualidade do código

Se você quer evoluir como desenvolvedor e aprender mais sobre qualidade de código, arquitetura de software e boas práticas, estes livros são altamente recomendados:

• Clean Code – Robert C. Martin: ensina princípios fundamentais para escrever código limpo e fácil de manter.
• Refatoração – Martin Fowler: mostra técnicas práticas para melhorar a estrutura de código existente.
• Arquitetura Limpa: o Guia do Artesão Para Estrutura e Design de Software: explica como estruturar sistemas escaláveis e bem organizados.