Agent 写完代码不算完成：SonarQube 怎样把验证放回 Codex 循环

导读

Agent 写代码的速度提高后，验证往往仍要等到提交和 CI 阶段，错误因此需要来回修补。Sonar 的工作坊展示了另一种循环：把项目规则和独立检查接到 Codex 的当前会话里，让 Agent 修改后尽快收到反馈。演示中，Codex 将 SQL 字符串拼接改为参数化查询，检查工具随即复查，确认新改动的问题消失，同时识别出同文件里一处原有问题，避免把无关旧账算到这次修复头上。生成前可以提供项目架构和规则，生成后用静态分析、测试等不同工具寻找反证，再把发现交还 Agent 修复；人仍负责意图和最终发布决定。团队还演示了密钥检测：在常规提示或工具调用中发现凭据时，hook 会拦截；讲者说明，如果操作绕过这些路径，检查就可能不会触发，因此权限和环境控制仍需一起考虑。