SonarQube + OpenAI：Agentic 开发中的安全反馈闭环

Sonar 的 Killian Carlsen-Phelan 在一个含硬编码 API key 与 SQL 注入路径的 Python 项目中演示：SonarQube 扫描追踪用户可控输入到数据库执行，Codex 将字符串插值替换为参数化查询，验证钩子再次检查修改后的代码，使安全反馈进入编码循环而非留待后续构建或评审。工作坊通过 SonarQube Cloud、CLI、插件与 MCP server 展开 guide、verify、solve 流程，secrets 检测钩子可拦截提示中的伪造凭据，issue 列表技能为 agent 提供项目仪表盘证据。

AI推荐理由 Sonar 的 Killian Carlsen-Phelan 演示 SonarQube 与 Codex 结合的 agentic 开发流程：在含硬编码 API key 和 SQL 注入路径的 Python 项目中，扫描追踪用户可控输入到数据库执行，agent 将字符串插值改为参数化查询，验证钩子再次检查修改后的代码，把安全反馈放进编码循环。工作坊还展示 SonarQube Cloud、CLI、插件与 MCP server 的 guide/verify/solve 流程，以及 secrets 检测钩子拦截提示中的伪造凭据。内容为现场演示，未提供量化效果。