静的解析（ソースコード検査）とは？

静的解析（ソースコード検査）の意味

プログラムを動かさずにソースコードを機械的に調べ、危険な書き方や規約違反を検出する手法。広い範囲を短時間で確認でき、人によるレビューを補う。動かして確認する動的な検査と組み合わせることで検出の漏れを減らせる点が要点になる。

静的解析（ソースコード検査）の具体例

開発委託先に対し、納品前に検査ツールを実行し、重大と判定された指摘をすべて解消したうえで結果報告書を提出するよう契約で定めた。自社側でも受入時に報告書を確認し、未解消の指摘は理由と対応方針の説明を求めた。

静的解析（ソースコード検査）は試験でどう引っ掛けられる？

検出できるのは書き方の問題までで、業務要件の取り違えや設計上の欠陥は見つけられない。また誤検出も出るため、指摘件数をそのまま品質の指標として扱うのは適切でない。

静的解析（ソースコード検査）と関連する用語

• コードレビュー
• セキュアプログラミング（入力値検証）
• 単体テスト・結合テスト・システムテスト

静的解析（ソースコード検査）が出た過去問

• アジャイル開発のプロジェクトで、ソースコードの品質を向上させるために、バグ、コードの重複、脆弱性につながるコードを自動で検出することができるOSSのツールを導入…

  正解：SonarQube

  要点：SonarQubeはコード品質と脆弱性を自動検出する静的解析OSS

  SonarQubeは、ソースコードを静的解析してバグの疑い、コードの重複、脆弱性につながる記述、コーディング規約違反などを自動検出するOSSの品質管理ツールです。CIに組み込んでコミットごとに解析し、品質ゲートを満たさない変更を止める使い方が一般的で、アジャイル開発で継続的にコード品質を保つ用途に適します。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問22（IPA）