ShellCheck

ShellCheck は、シェルスクリプトを実行せずに読んで、間違いや危ない書き方を指摘するツールです。自分のパソコンの中だけで動き、スクリプトをどこにも送らないので、書いたスクリプトをすぐに確かめられます。

この記事は、sh や bash でスクリプトを書き始めた人に向けています。読み終えると、次のことができるようになります。

• ShellCheck をインストールして、手元のスクリプトを確かめる
• 警告の番号（SC2086 など）から、公式 Wiki の説明を引く
• 不要な警告を抑えたり、CI に組み込んだりする

##ShellCheck でできること

公式 README は、ShellCheck の目的として次のものを挙げています。

• 初心者がつまずきやすい文法の間違いを指摘し、シェルの分かりにくいエラーの意味を説明する
• 中級者が書きがちな、思ったとおりに動かない書き方を指摘する
• 今は動いていても、条件しだいで将来失敗する落とし穴を指摘する

対応する方言は sh（POSIX）、bash、dash、ksh、busybox です。どの方言として読むかは、ファイル先頭の shebang（#!/bin/bash など）や拡張子から自動で決まります。-s bash のように指定もできます。

セキュリティの面で役に立つのは、次のような指摘です。

SC2115 の Wiki は、直し方として "${STEAMROOT:?}/"* を示しています。:? を付けると、変数が空か未設定のときにコマンドが失敗して止まります。

##安全な試し方

1. パッケージマネージャでインストールします。公式 README には、次のような方法が載っています。

   環境	コマンド
   Debian 系	sudo apt install shellcheck
   Fedora 系	dnf install ShellCheck
   macOS（Homebrew）	brew install shellcheck
   Windows	winget install --id koalaman.shellcheck、choco install shellcheck、scoop install shellcheck
   Docker	docker run --rm -v "$PWD:/mnt" koalaman/shellcheck:stable myscript

   GitHub Releases には、Linux・macOS・Windows 向けのビルド済みバイナリもあります。

2. 練習用のファイル test.sh を作り、次の 2 行を書きます。中身は実行しないでください。

   #!/bin/bash
   echo $1

3. shellcheck test.sh を実行します。$1 に SC2086 の指摘が付きます。

4. echo "$1" に直して、もう一度実行します。指摘が消えれば完了です。

インストールせずに試すなら、ShellCheck.net にスクリプトを貼り付ける方法もあります。ただし、貼ったスクリプトはサーバーへ送られます（後の「注意点」を参照）。

##結果の読み方と主な使い方

指摘には SC から始まる番号と重大度が付きます。番号で公式 Wiki（https://www.shellcheck.net/wiki/SC番号）を開くと、悪い例、直した例、理由が読めます。重大度は重いほうから error、warning、info、style の 4 段階です。

終了コードは、問題がなければ 0、指摘があれば 1 です。そのため Makefile や CI に shellcheck myscripts/*.sh と書くだけで、指摘があるときにビルドを失敗させられます。公式 README は、新しい版で警告が増えてビルドが突然落ちるのを防ぐため、CI では版を固定して入れることを勧めています。pre-commit 用のフックも公式に用意されています。

エディタでは、VS Code（vscode-shellcheck）、Vim（ALE など）、Emacs（Flycheck など）、Sublime Text（SublimeLinter）などで、書きながら指摘を表示できます。

##注意点

##次に読む

• cd ../gitleaksGitleaksリポジトリに紛れ込んだパスワードや API キーを探すツール
• cd ../trivyTrivyコンテナイメージやコードの脆弱性・設定ミスを見つけるスキャナー