コーディング標準

プログラムの記述方法に関する統一ルール。命名規則、インデンテーション、ネスト、コメントの書き方、使用禁止命令などを規定する。コードの可読性・保守性を向上させ、チーム開発での品質統一に貢献する。

プログラムの記述スタイルや命名規則、コメントの書き方、インデンテーション、ネストの深さ制限、使用禁止命令などを統一するための規約。可読性・保守性の向上とバグ混入の防止を目的とし、チーム開発での一貫性を確保する。

チーム内でコードの書き方を統一するためのルール集。命名規則、インデント、コメントの書き方、禁止事項などを定める。可読性の向上とレビューの効率化に寄与し、静的解析ツールで自動チェックできる。

プログラムの書き方について、組織やプロジェクトで定めた規則。名前の付け方、字下げなどの書式、使ってはならない命令、エラー処理の方法、注釈の書き方などを定め、読みやすさと保守性を高め、誤りや脆弱性を作り込みにくくする。静的解析ツールで遵守を確かめられる。

プログラムを実行せずに、ソースコードやバイナリを解析して脆弱性を検出する検査手法。SQLインジェクションやバッファオーバーフローにつながる危険な関数の使用や、入力値が無害化されずに出力に渡る経路などを見つける。開発の早い段階から自動で実行できる一方、誤検知が多く、実行時の設定や環境に起因する問題は見つけにくい。

脆弱性を作り込まないように、安全なプログラムの書き方の原則に従ってコーディングすること。セキュアコーディングとも呼ぶ。入力値の検証、出力時のエスケープ、プレースホルダの使用、エラーメッセージでの情報の出し過ぎの防止などを、コーディング規約、コードレビュー、SASTによる検査で徹底する。

プログラムを実際に動作させ、その振る舞いを観察して分析する手法。マルウェアの解析では、サンドボックスなどの隔離した環境で検体を実行し、作成するファイル、レジストリの変更、通信先などを記録して機能を調べる。ソフトウェアの検証では、実行時のメモリの使い方や脆弱性の有無を調べるのに使う。

同じ立場や同程度の技術をもつ同僚どうしで成果物を確認し合うレビュー。上司や顧客を交えないため率直に指摘しやすく、設計書やソースコードの誤りの早期発見と知識の共有に役立つ。

ソースコードがコーディング標準や記述のルールに従っているかを自動的に検査するツール。規約違反や誤りを招きやすい記述を指摘するため、レビューの負担を減らし、品質のばらつきを抑えられる。

プログラムを実際に動作させて、その結果を確かめるテスト。ソースコードを実行せずに調べる静的解析と対になり、実行したときにしか現れない誤りや性能の問題を見つけられる。