問22 コードを検査する OSS

情報処理安全確保支援士令和7年度春期午前II、全25問のうちの問22。

アジャイル開発のプロジェクトで，ソースコードの品質を向上させるために，バグ，コードの重複，脆弱性につながるコードを自動で検出することができる OSS のツールを導入したい。導入する OSS として，最も適切なものはどれか。

答えと解説を開く

正解はエです。

SonarQube は、ソースコードを動かさずに読んで (静的解析)、バグのもと、重複したコード、脆弱性につながる書き方などを自動で見つけ、品質を一覧や評価で示す OSS のツールです。正解はエです。

ほかの選択肢が違う理由

アジャイル開発では、短い間隔で何度も変更を入れます。静的解析を CI に組み込み、プルリクエストごとに自動で検査すれば、問題が積み重なる前に気づけます。

ただし、静的解析には見落としも、問題でない物を問題と言う誤検知もあります。人のコードレビューや、動かして確かめるテストと組み合わせて使います。