メトリクス計測

ソフトウェアの規模や品質を、ソースコードの行数、サイクロマティック複雑度、モジュールの結合度、見つかったバグの数などの数値（メトリクス）で測ること。結果をもとに、複雑すぎる箇所やテストが不十分な箇所を見つけ、レビューやテストの重点を決める。

プログラムを実際に実行して、出力や振る舞いを期待した結果と比べて確かめるテスト。プログラムを実行せずにソースコードを調べるレビューや静的解析と対比され、実行して初めて分かる処理の誤りや性能の問題を見つけられる。

ソースコードを静的に解析して、バグの可能性がある箇所、脆弱性、コードの重複、複雑さなどを検出し、コードの品質を継続的に管理するためのツール。CI/CDのパイプラインに組み込み、品質の基準（品質ゲート）を満たさない変更の取込みを止めるのに使う。オープンソース版と商用版がある。

マルウェアの疑いがある検体を、サンドボックスなどの外部から隔離した環境で実際に動作させ、ファイルやレジストリの変更、通信先などの振る舞いを観察して性質を調べる解析。プログラムを実行せずにコードやハッシュ値、文字列を調べる静的解析と組み合わせて使う。

ソースコードがコーディング標準や記述のルールに従っているかを自動的に検査するツール。規約違反や誤りを招きやすい記述を指摘するため、レビューの負担を減らし、品質のばらつきを抑えられる。

ソースコードやバイナリを実行せずに解析し、セキュリティ上の脆弱性を検出するテスト手法。開発の早い段階で脆弱性を発見でき、CI/CDパイプラインに組み込んで自動実行される。SQLインジェクションやバッファオーバーフローなどのコーディング上の問題を検出する。

プログラムを実行せずに、ソースコードやバイナリを解析して脆弱性を検出する検査手法。SQLインジェクションやバッファオーバーフローにつながる危険な関数の使用や、入力値が無害化されずに出力に渡る経路などを見つける。開発の早い段階から自動で実行できる一方、誤検知が多く、実行時の設定や環境に起因する問題は見つけにくい。