静的解析とは何ですか？

プログラムを実行せずにソースコードを解析して、バグやセキュリティ脆弱性、コーディング規約違反を検出する手法。

静的解析のポイントは？

Static Analysisの訳で、静的コード解析とも呼ばれる。コンパイラの警告、リンター、セキュリティスキャナーが代表的。SonarQube、ESLint、Checkstyle、Semgrepなどのツール。CI/CDパイプラインに組み込んで自動実行するのがベスト

【せいてきかいせき】

静的解析とは？

💡 「動かす前」にバグを見つける

📌 このページのポイント

Static Analysisの訳で、静的コード解析とも呼ばれる
コンパイラの警告、リンター、セキュリティスキャナーが代表的
SonarQube、ESLint、Checkstyle、Semgrepなどのツール
CI/CDパイプラインに組み込んで自動実行するのがベスト

静的解析のイメージ

ひよこ

リンターと何が違うの？

ペンギン先生

リンターは静的解析の一種だよ。リンターは主にコーディングスタイルや軽微なエラーを検出する。静的解析はそれに加えて、セキュリティ脆弱性（SQLインジェクション、XSSなど）、バグパターン、複雑度分析などより深い分析も含む広い概念なんだ

ひよこ

具体的にどんなバグが見つかる？

ペンギン先生

null参照の可能性、使われていない変数、到達不能コード、リソースのクローズ忘れ、セキュリティ脆弱性（ハードコードされたパスワード、インジェクション脆弱性）、循環的複雑度の高い関数など。人間のコードレビューでは見落としがちなパターンを機械的に検出できるよ

ひよこ

誤検知（false positive）が多いって聞いたけど？

ペンギン先生

確かにそこが課題だよ。ツールが「危険かもしれない」と報告しても実際には問題ないケースがある。誤検知が多すぎると開発者がアラートを無視するようになる。ルールの調整や抑制コメントの活用で誤検知を管理しつつ、重要なルールに絞って運用するのがコツだね

ひよこ

おすすめのツールは？

ペンギン先生

言語による。JavaScript/TypeScriptならESLint、PythonならPylint/Ruff、JavaならSpotBugs、C/C++ならClang Static Analyzer。言語横断ではSonarQubeが定番だよ。セキュリティ特化ならSemgrepやSnyk Codeがおすすめ。まずはCIに1つ入れてみることが第一歩だね

まとめ：ざっくりこれだけ覚えればOK！

「静的解析」って出てきたら「コードを実行せずに問題を検出する分析手法」と思えればだいたいOK！

📖 おまけ：英語の意味

「Static Analysis」＝静的解析

💬 Static（静的＝動かさない）Analysis（分析）。対義語はDynamic Analysis（動的解析＝実行して分析）だよ

← 用語集にもどる

静的解析 とは？

静的解析とは？