shellcheckでシェルスクリプトを静的解析する方法｜インストールからCI組み込み・頻出警告の直し方まで

この記事のポイント

・shellcheck は実行前に静的解析でバグを検出するコマンドラインツール
・SC2086（クォート不足）・SC2006（バッククォート）が最多の警告パターン
・apt/dnf/brew/バイナリでインストール可能。GitHub Actions なら公式 Action あり
・set -x は実行時デバッグ、shellcheck は実行前の静的検査——役割がまったく異なる

# パッケージリストを更新してインストール
$ sudo apt update
$ sudo apt install shellcheck -y

# バージョン確認
$ shellcheck --version
ShellCheck - shell script analysis tool
version: 0.9.0
license: GNU General Public License, version 3

# EPEL を有効化（RHEL 9 / Rocky Linux 9 / AlmaLinux 9）
$ sudo dnf install epel-release -y

# shellcheck をインストール
$ sudo dnf install shellcheck -y

# バージョン確認
$ shellcheck --version
ShellCheck - shell script analysis tool
version: 0.9.0

$ brew install shellcheck

# バージョン確認
$ shellcheck --version
ShellCheck - shell script analysis tool
version: 0.9.0

# 最新バイナリをダウンロード（x86_64 の場合）
$ wget -O shellcheck.tar.xz \
  https://github.com/koalaman/shellcheck/releases/download/v0.9.0/shellcheck-v0.9.0.linux.x86_64.tar.xz

# 展開してパスを通す
$ tar -xf shellcheck.tar.xz
$ sudo cp shellcheck-v0.9.0/shellcheck /usr/local/bin/
$ shellcheck --version
ShellCheck - shell script analysis tool
version: 0.9.0

#!/bin/bash
# sample.sh — わざとバグを含んだサンプル

name="World"
echo "Hello $name!"

# バッククォートで囲んだコマンド置換（SC2006 の例）
files=`ls /tmp`

# クォートなしの変数展開（SC2086 の例）
echo $files

$ shellcheck sample.sh

In sample.sh line 9:
files=`ls /tmp`
      ^--------^ SC2006 (style): Use $(...) instead of legacy `...`.

In sample.sh line 12:
echo $files
     ^----^ SC2086 (info): Double quote to prevent globbing and word splitting.

Did you mean:
echo "$files"

# ワイルドカードで一括チェック
$ shellcheck scripts/*.sh

# find と組み合わせてサブディレクトリも含めて再帰チェック
$ find . -name "*.sh" -exec shellcheck {} +

# 警告ありのスクリプトをチェック
$ shellcheck sample.sh
$ echo $?
1

# 問題なしのスクリプトをチェック
$ shellcheck clean.sh
$ echo $?
0

#!/bin/bash
# NG — クォートなし
filepath="/tmp/my file.txt"
cat $filepath      # 「/tmp/my」と「file.txt」の 2 引数に分割される！

# OK — ダブルクォートで囲む
cat "$filepath"    # ファイルパス全体が 1 引数として渡る

#!/bin/bash
# NG — バッククォート形式
result=`date +%Y%m%d`

# OK — $() 形式
result=$(date +%Y%m%d)

# ネストする場合も $() なら可読性が高い
nested=$(echo $(date +%Y))

#!/bin/bash
# NG — クォートなし（スペースを含むパスで壊れる）
cd $(dirname $0)

# OK — コマンド置換全体をダブルクォートで囲む
cd "$(dirname "$0")"

シェルスクリプトの品質をもっと高めたい方へ

現役エンジニアが解説するシェルスクリプト実践講座・無料メルマガ配信中

" .vimrc または init.vim に追加
let g:ale_linters = {'sh': ['shellcheck']}
let g:ale_sh_shellcheck_options = '--severity=warning'

" 保存時だけチェックする場合（リアルタイムチェックをオフ）
let g:ale_lint_on_text_changed = 'never'
let g:ale_lint_on_insert_leave = 0

# VS Code 拡張をコマンドラインからインストール
$ code --install-extension timonwong.shellcheck

# .github/workflows/shellcheck.yml
name: ShellCheck

on:
  push:
    branches: [main, develop]
  pull_request:

jobs:
  shellcheck:
    name: ShellCheck
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Run ShellCheck
        uses: ludeeus/action-shellcheck@master
        with:
          severity: warning    # warning 以上を検出対象に
          scandir: './scripts' # チェック対象ディレクトリを指定

# .gitlab-ci.yml
shellcheck:
  image: koalaman/shellcheck-alpine:stable
  stage: test
  script:
    - find . -name "*.sh" -exec shellcheck -S warning {} +
  only:
    - merge_requests
    - main

# SC2148 が出るケース — shebang なし
name="World"
echo "$name"

# 解決策1: shebang を先頭に追加する
#!/bin/bash
name="World"
echo "$name"

# 解決策2: -s オプションで対象シェルを明示する
$ shellcheck -s bash myscript.sh

# 特定行だけ SC2086 を無効化（行の直前に記述）
# shellcheck disable=SC2086
echo $unquoted_var

# 複数コードをまとめて無効化
# shellcheck disable=SC2086,SC2006
echo $var1
files=`ls /tmp`

# ファイル全体で無効化（ファイル先頭に記述）
# shellcheck disable=SC2086