{"id":57020,"date":"2025-09-19T11:47:04","date_gmt":"2025-09-19T09:47:04","guid":{"rendered":"https:\/\/www.d-velop.de\/blog\/?p=57020"},"modified":"2025-09-19T11:48:27","modified_gmt":"2025-09-19T09:48:27","slug":"statische-codeanalyse","status":"publish","type":"post","link":"https:\/\/www.d-velop.de\/blog\/engineering\/statische-codeanalyse\/","title":{"rendered":"Statische Codeanalyse @ d.velop: Mehr als nur \u201eCode Smells\u201c finden"},"content":{"rendered":"\n

Wie stellst du sicher, dass dein Code nicht nur funktioniert, sondern auch sicher, wartbar und zukunftsf\u00e4hig ist? In diesem Beitrag zeigen wir, warum statische Codeanalyse genau dabei hilft, wie wir sie bei d.velop eingef\u00fchrt haben und welche Erfahrungen wir im Alltag gemacht haben.<\/p>\n\n\n\n

\n

<\/span>Was ist statische Codeanalyse?<\/span><\/h2>\n\n\n\n

Statische Codeanalyse<\/strong> ist ein Verfahren zur Untersuchung von Quellcode, ohne den Quellcode auszuf\u00fchren. Das bedeutet: Der Code wird nicht kompiliert oder gestartet, sondern rein auf Basis seines Inhalts analysiert. Ziel ist es, potenzielle Probleme fr\u00fchzeitig zu erkennen. Dabei geht es nicht nur um klassische Syntaxfehler, sondern auch um Aspekte wie Sicherheitsl\u00fccken, Wartbarkeit, schlechte Lesbarkeit oder unn\u00f6tige Komplexit\u00e4t.<\/p>\n<\/div><\/div>\n\n\n\n

<\/span>Wie erfolgt die statische Codeanalyse?<\/span><\/h2>\n\n\n\n

Die Analyse erfolgt mithilfe spezieller Tools, die den Quellcode regelbasiert und mithilfe statischer Modelle untersuchen. Diese Tools durchsuchen den Code nach bestimmten Mustern, die auf Fehler oder Schw\u00e4chen hindeuten k\u00f6nnen, beispielsweise ungenutzte Variablen, zu lange Methoden, zyklische Abh\u00e4ngigkeiten oder veraltete Verschl\u00fcsselungsverfahren. Viele dieser Tools lassen sich in Entwicklungsumgebungen und Build-Pipelines integrieren, sodass sie automatisch bei jedem Commit oder Build ausgef\u00fchrt werden. Dadurch wird sichergestellt, dass Qualit\u00e4tsprobleme fr\u00fchzeitig erkannt und behoben werden k\u00f6nnen, bevor sie in sp\u00e4teren Phasen der Softwareentwicklung teurer oder riskanter werden. Ganz nach dem Shift-Left-Prinzip<\/a>.<\/p>\n\n\n\n

<\/span>Statisch vs. dynamisch \u2013 Wo liegt der Unterschied?<\/span><\/h2>\n\n\n\n

Die dynamische Codeanalyse erfolgt w\u00e4hrend der Programmausf\u00fchrung. Sie beobachtet das Verhalten des Codes zur Laufzeit, etwa durch Tests, Monitoring oder Debugging. Dabei lassen sich Fehler erkennen, die nur unter bestimmten Bedingungen auftreten z.\u202fB. Speicherlecks, Race Conditions, fehlerhafte Logik oder Performanceprobleme. Typische Werkzeuge sind Profiler, Debugger, Unit- und Integrationstests sowie Laufzeit-Monitoring-Systeme.<\/p>\n\n\n

\n
\"Tabelle:\n\t\t\t\n\t\t\t\t\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>\n\n\n

<\/span>Warum ist sie wichtig f\u00fcr Softwarequalit\u00e4t und Sicherheit?<\/span><\/h2>\n\n\n\n

Statische Codeanalyse ist ein Werkzeug zur Sicherstellung von Softwarequalit\u00e4t und Sicherheit. Sie weist nicht nur fr\u00fchzeitig auf Probleme hin, sondern erm\u00f6glicht auch strukturelle Verbesserungen im Entwicklungsprozess.<\/p>\n\n\n\n

Ein zentraler Mehrwert liegt in der Standardisierung: Durch die konsequente Anwendung definierter Coding-Regeln entsteht ein einheitlicher, lesbarer und wartbarer Code. Das erleichtert die Zusammenarbeit im Team, reduziert Missverst\u00e4ndnisse und schafft eine gemeinsame Basis f\u00fcr Reviews und Weiterentwicklung.<\/p>\n\n\n\n

Auch im Bereich der Sicherheit zeigt die statische Analyse ihre St\u00e4rken. Viele Schwachstellen lassen sich bereits im Quelltext erkennen, beispielsweise unsichere API-Nutzung, fehlerhafte Validierungen oder potenzielle Injection-Punkte. Durch automatisierte Pr\u00fcfungen k\u00f6nnen solche Risiken fr\u00fchzeitig identifiziert und behoben werden, bevor sie in produktiven Systemen zum Problem werden.<\/p>\n\n\n\n

Dar\u00fcber hinaus hilft die statische Analyse, technische Schulden sichtbar zu machen und gezielt abzubauen. Gerade in gewachsenen oder \u00e4lteren Codebasen lassen sich Altlasten identifizieren, priorisieren und schrittweise verbessern. Das erh\u00f6ht die langfristige Wartbarkeit der Software und reduziert das Risiko, dass veralteter oder fehleranf\u00e4lliger Code unentdeckt bleibt.<\/p>\n\n\n\n

<\/span>Wie wir bei d.velop gestartet sind<\/span><\/h2>\n\n\n\n

Wir haben eine Initiative ins Leben gerufen, um die statische Codeanalyse in unseren Entwicklungsprozess zu integrieren. Dabei war es uns wichtig, die Einf\u00fchrung in mehreren Phasen zu gestalten, um den Teams Zeit zur Anpassung zu geben und den Nutzen der Analyse schrittweise zu verdeutlichen.<\/p>\n\n\n\n

Dazu haben wir in der ersten Phase die Teams dazu eingeladen, die statische Codeanalyse auf freiwilliger Basis zu testen und erste Erfahrungen zu sammeln.<\/p>\n\n\n\n

In den beiden weiteren Phasen wird die Nutzung der statischen Codeanalyse weiter ausgebaut und sie schlie\u00dflich als fester, verpflichtender Bestandteil in unseren Entwicklungsprozess integriert.<\/p>\n\n\n\n

Zus\u00e4tzlich hat sich d.velop auf zwei gemeinsame Quality Gates geeinigt, die f\u00fcr alle Projekte gelten. Diese Quality Gates umfassen verschiedene Metriken, die sicherstellen, dass der Code firmenweit bestimmte Qualit\u00e4tsstandards erf\u00fcllt. Dar\u00fcber hinaus haben wir uns auf gemeinsame Quality Profiles geeinigt, die als Grundlage f\u00fcr die statische Codeanalyse dienen. Diese Profile definieren die bei der Analyse anzuwendenden Regeln und Standards, um eine konsistente Bewertung der Codequalit\u00e4t zu gew\u00e4hrleisten.<\/p>\n\n\n\n

<\/span>Integration in unsere CI\/CD-Pipelines<\/span><\/h2>\n\n\n\n

Mit der Einf\u00fchrung des GitLab CI\/CD Katalogs<\/a> haben wir eigene Komponenten f\u00fcr die statische Codeanalyse bereitgestellt. Diese nutzen SonarQube<\/a> als zentrales Tool zur Analyse und Bewertung der Codequalit\u00e4t. Die Komponenten k\u00f6nnen entweder von den Teams in deren bestehende Pipelines integriert werden. Alternativ ist die statische Codeanalyse bereits automatisch in der d.velop Standard-Pipeline enthalten, sofern das jeweilige Team diese nutzt. Die d.velop Standard-Pipeline ist eine vordefinierte CI\/CD-Pipeline, die alle wesentlichen Jobs f\u00fcr den Softwareentwicklungsprozess beinhaltet.<\/p>\n\n\n\n

Ein Beispiel f\u00fcr die Verwendung der C#-Static-Code-Analysis-Komponente in einer .gitlab-ci.yml-Datei:<\/p>\n\n\n\t

\n\t\t
\n\t\t\t\t\t\t