Bitbucket Pipelinesで「品質の門番」を構築せよ：SonarQubeとESLintでデプロイを完全自動制御する
開発スピードを犠牲にして品質を担保しようとするのは、現代のエンジニアリングにおいて「敗北」を意味する。真に速いチームは、「コードを書いた瞬間からデプロイまで、人間が品質チェックに介在しない」仕組みを構築している。
今日は、Bitbucket Pipelinesを単なるCIツールから「徹底的な品質ゲート」へと昇華させる極限の構成術を伝授する。
—
1. なぜ「CI中の静的解析」で止めるべきなのか
多くのチームが「マージ後にデプロイパイプラインで落ちる」という非効率なループを回している。我々が目指すべきは「プルリクエスト（PR）の時点で品質基準を満たさないコードを物理的にマージ不能にする」ことだ。
必須の戦略：品質ゲートによる即時フィードバック
1. ESLint (Linter): 構文エラーやスタイル違反をミリ秒単位で検知。
2. SonarQube (Scanner): 技術的負債、脆弱性、カバレッジを定量化。
3. Quality Gate: この両者がNGであれば、Bitbucketの「Merge Check」を強制的にロックする。
—
2. 現場で震えるほど役立つ：Bitbucket Pipelines 設定のベストプラクティス
`bitbucket-pipelines.yml` は、単なるコマンドの羅列ではない。「失敗したとき、いかに速く原因を特定できるか」という哲学を込めるべきだ。
bitbucket-pipelines.yml
image: node:18-alpine
definitions:
caches:
sonar: ~/.sonar/cache # SonarQubeのキャッシュを効かせてスキャン時間を劇的に短縮
pipelines:
pull-requests:
”: # 全PRに対して適用
- step:
name: “Static Analysis & Quality Gate”
caches:
- node
- sonar
script:
# 1. ESLintで即座にエラーを弾く
- npm ci
- npm run lint — –max-warnings 0
# 2. SonarQubeスキャンを実行
# SONAR_TOKENはBitbucketのRepository Variablesに隠蔽すること
- pipe: sonarsource/sonarqube-scan:1.9.0
variables:
SONAR_HOST_URL: $SONAR_HOST_URL
SONAR_TOKEN: $SONAR_TOKEN
# 3. Quality Gateの結果を待機
- pipe: sonarsource/sonarqube-quality-gate:1.1.0
variables:
SONAR_TOKEN: $SONAR_TOKEN
【極限の最適化Tips】
- キャッシュの活用: `definitions`で`sonar`ディレクトリをキャッシュせよ。これだけでスキャン時間が30%以上短縮される。
- `–max-warnings 0`: これを忘れると、ESLintの警告が放置され、結局「警告だらけのコード」が溜まる負債を生む。厳格に設定せよ。
—
3. PR画面へのフィードバックを最大化する
SonarQubeを統合する際、忘れがちなのが「PR decoration」だ。これが設定されていないと、結局SonarQubeのダッシュボードまで見に行かなければならない。
- SonarQube側: `General Settings > Pull Requests` でBitbucket Cloudを選択し、OAuth認証を完了させる。
- 効果: PRの「Comments」欄に、脆弱性やコードの重複が直接コメントされる。開発者はコンテキストスイッチなしで修正に取り掛かれる。
—
4. チームの生産性を底上げする「神設定」と隠れたハック
チーム全体の設定共有化ルール
設定ファイル（`.eslintrc.json` や `sonar-project.properties`）は、Git管理下で共通化し、`husky` を使ってローカル環境でも同じチェックを強制せよ。
// .husky/pre-commit
npm run lint-staged
CIを待つ必要すらなく、コミットの瞬間に品質を保証する。これが最強のDevOpsだ。
現場で役立つBitbucketショートカット
- `Shift + ?`: Bitbucketの全キーボードショートカット一覧を表示。
- `Enter` (PRリスト上で): PRをすばやく開く。
- `a` / `r`: コードレビュー中に「Approve」または「Request changes」をキー一発で実行。
- テックリードの心得: マウスに手を伸ばす時間はすべて無駄だ。キーボードだけでPRレビューを完結させろ。
推奨プラグイン：Bitbucket Pipeline View (Chrome Extension)
公式ではないが、Pipelineのステータスをアイコンで一目で把握できる拡張機能は、マルチリポジトリを管理するテックリードの必携ツールだ。
—
結論：品質は「自動化」の結果でしかない
優れたパイプラインとは、「開発者が何も考えなくても、勝手に品質が最高水準に保たれる環境」のことだ。
SonarQubeとESLintをパイプラインの入り口に配置し、PRを物理的にブロックせよ。最初はその厳しさにチームから文句が出るかもしれない。だが、3ヶ月後、そこには「技術的負債に怯えることなく、新機能開発に集中できる」プロフェッショナルなチームが完成しているはずだ。
さあ、今すぐYAMLを書き換え、コードの門番を構築しろ。準備はいいか？