Javaを含む主要言語を対象に、品質・価格・導入難度・MCP対応・そして「すり抜けしないレベル」を5段階で整理した比較資料。AIエージェント時代の開発では、AIレビュー単体ではなく、静的解析・型チェック・テスト・CI品質ゲート・MCP連携を組み合わせるのが現実的です。
横断的な品質管理、品質ゲート、ダッシュボード化まで考えるなら、SonarQubeを中心に据えるのが最も説明しやすい。
禁止実装、危険パターン、セキュリティルール、独自ルールはSemgrepが強い。Javaでも有効。
MCPはAIが品質結果を読んで修正するための導線。最終判定はCIと品質ゲートに任せるべき。
ここでの「すり抜けしないレベル」は、単純な検出精度だけではなく、CIで強制できるか、独自ルールを作れるか、PRで止められるか、言語横断で運用できるか、AI生成コードにも効くかを含めた実務評価です。
| 評価 | 意味 | すり抜け例 | 実務上の位置づけ |
|---|---|---|---|
| 5 | かなり止められる | ルール未定義の業務仕様ミス、設計意図の読み違い程度 | 品質ゲートの主軸にできる |
| 4 | 多くを止められる | 複雑な文脈依存バグ、プロジェクト固有設計違反 | CI強制に向く |
| 3 | 基本的な違反は止められる | 設計違反、セキュリティ文脈、横断的品質劣化 | 補助ツールとして有効 |
| 2 | 限定範囲なら止められる | 型、設計、依存関係、脆弱性など広範な問題 | 単体では不足 |
| 1 | ほぼ人間/AIレビュー依存 | ほとんどの規約違反・バグ・設計違反 | 品質保証には使えない |
| ソリューション | 主対象 | 品質 | 価格 | 導入難度 | すり抜けしないレベル | MCP/AI連携 | 評価コメント |
|---|---|---|---|---|---|---|---|
| SonarQube / SonarCloud | Java / C# / JS / TS / Python / Go ほか | 5 | 3 | 3 | 5 | 公式MCPあり | 品質ゲート、コードスメル、信頼性、保守性、セキュリティを横断管理できる本命。CIの合否判定に向く。 |
| Semgrep | Java / JS / TS / Python / Go / C# ほか30+言語 | 4 | 4 | 3 | 4 | MCPあり | 独自ルール・禁止パターン・セキュリティガードが強い。社内規約の自動検出に向く。 |
| GitHub CodeQL | Java / C# / JS / TS / Python / Go / C/C++ ほか | 4 | 3 | 3 | 4 | GitHub MCP経由 | 脆弱性・データフロー解析に強い。GitHub中心の開発なら強力。ただし規約チェック用途では補助。 |
| Qodana | JetBrains系IDE利用チーム / 60+言語 | 4 | 3 | 3 | 4 | IDE/CI連携中心 | JetBrainsのインスペクションをCI品質管理に持ち込める。IntelliJ文化のJavaチームと相性が良い。 |
| Checkstyle | Java | 3 | 5 | 3 | 3 | 直接MCPは薄い | Javaコーディング規約の定番。命名、インデント、import、Javadoc等を機械的に縛るのに強い。 |
| PMD | Java中心 | 3 | 5 | 3 | 3 | 直接MCPは薄い | 不要コード、複雑度、バグ臭の検出に使える。Checkstyleよりコード内容寄り。 |
| SpotBugs | Javaバイトコード | 4 | 5 | 3 | 4 | 直接MCPは薄い | Null、リソース、並行処理、誤用などJavaのバグ臭検出に強い。規約より不具合予兆向け。 |
| Error Prone | Java | 4 | 5 | 3 | 4 | 直接MCPは薄い | コンパイル時に危険なJavaパターンを検出。導入できるならJava品質の底上げに効く。 |
| ESLint + Prettier | JavaScript / TypeScript | 4 | 5 | 2 | 4 | AI IDEと相性良 | JS/TSではほぼ標準。TypeScript strictと組み合わせるとかなり強い。 |
| Ruff + mypy/pyright | Python | 4 | 5 | 2 | 4 | AI IDEと相性良 | Ruffは高速Lint/Format、mypy/pyrightは型チェック。Python品質管理の低コスト本命。 |
| golangci-lint | Go | 4 | 5 | 2 | 4 | AI IDEと相性良 | Goの複数Linter統合。gofmt/go vetと合わせてCIに入れやすい。 |
| reviewdog | PRコメント化 | 3 | 5 | 3 | 3 | GitHub MCPと相性良 | Linter結果をPR上に可視化。単体検出能力ではなく、レビュー運用のすり抜け防止に効く。 |
| AIレビュー系 CodeRabbit / Copilot Review等 | PRレビュー補助 | 3 | 2〜3 | 2 | 2 | AIそのもの | 観点出しや見落とし補助には良いが、決定的な品質ゲートにはしない。誤検出・見逃し前提で使う。 |
| Python Excellence Prover系MCP | Python / AI生成コード補助 | 3 | 4 | 3 | 3 | MCP中心 | 発想は良いが、メジャーな標準基盤というより特化補助ツール。CI品質ゲートの代替にはしない。 |
Javaを含む業務システムなら、規約・バグ臭・品質ゲート・セキュリティを分けて導入するのが最も堅いです。
| レイヤー | 推奨ツール | 防げるもの | すり抜けしないレベル |
|---|---|---|---|
| フォーマット | google-java-format / Spotless | インデント、改行、整形ゆれ | 5 |
| 規約 | Checkstyle | 命名、import、Javadoc、構文レベル規約 | 3 |
| バグ臭 | SpotBugs / PMD / Error Prone | Null、リソース解放漏れ、複雑度、危険実装 | 4 |
| 品質ゲート | SonarQube | 保守性、信頼性、セキュリティ、重複、カバレッジ | 5 |
| 社内禁止ルール | Semgrep | Controller→Repository直呼び、SQL文字列結合、独自例外規約違反 | 4 |
| PR可視化 | reviewdog / GitHub Checks | レビュー時の見落とし、ローカル実行忘れ | 3 |
| AI修正支援 | SonarQube MCP / GitHub MCP / Semgrep MCP | AIがCI失敗理由を読めない問題、修正方針の迷子 | 3 |
推奨イメージ：
Java Formatter
→ Checkstyle
→ SpotBugs / PMD / Error Prone
→ Unit Test / Integration Test
→ Semgrep
→ SonarQube Quality Gate
→ PRレビュー
→ MCP経由でAIが修正支援AIエージェントがSonarQubeのIssue、品質ゲート、コードスメル、セキュリティ指摘を参照できる。Cursor/Cline/RooなどのAI IDEから「品質ゲートを落としている原因を直す」運用に向く。
すり抜けしないレベル：4〜5
※判定自体はSonarQube/CI側に置く場合。
AIにSemgrepルール作成、スキャン実行、検出結果の修正案作成を任せやすい。社内独自の禁止実装をAIにも理解させたい場合に相性が良い。
すり抜けしないレベル：4
PR差分、Issue、Actions結果、レビューコメントをAIが扱える。CodeQLや各種LinterのCI失敗結果を読ませて修正する用途に向く。
すり抜けしないレベル：3
※検出能力はGitHub MCPではなく、裏のCIツール次第。
柔軟だが、権限過多・プロンプト注入・ファイル操作リスクがある。社内利用では公式・読み取り専用・最小権限を原則にする。
すり抜けしないレベル：2〜3
| 方式 | 効果 | コスト | すり抜けしないレベル | コメント |
|---|---|---|---|---|
| IDE保存時フォーマット | 表記ゆれ削減 | 低 | 3 | 最初に入れるべき。揉める余地を消せる。 |
| pre-commit / Git hook | コミット前検出 | 低 | 3 | ローカルで早く落とせる。ただしhook回避は可能。 |
| CI強制 | マージ前検出 | 低〜中 | 5 | すり抜け防止の本丸。CIを通らないコードはマージ不可にする。 |
| Branch Protection | 人為的回避防止 | 低 | 5 | CIを落としても強行マージできる状態を潰す。 |
| reviewdog | PR上の可視化 | 低 | 3 | レビュー画面に直接出るため、指摘漏れが減る。 |
| Pull Request Template | 人間の確認漏れ削減 | 低 | 2 | チェックリストとしては有効だが、機械強制ではない。 |
| ADR / 設計ルール文書 | 判断基準の明文化 | 低 | 2 | ツール化しないとすり抜ける。SemgrepやArchUnit等に落とすと強い。 |
| AIレビュー | 観点出し、説明補助 | 中 | 2 | 便利だが品質保証の主役にしない。 |
言語別Linter / Formatter
+ pre-commit
+ GitHub Actions / GitLab CI
+ reviewdog
+ Semgrep OSS
+ Branch Protectionおすすめ度：高。まずはこれで十分に品質は上がります。すり抜けしないレベルは、CI強制まで入れれば 4 相当。
SonarQube
+ 言語別Linter / Formatter
+ Semgrep
+ CI品質ゲート
+ reviewdog
+ Branch Protectionおすすめ度：最も高い。品質の証跡、レビュー負荷軽減、AI生成コード対策のバランスが良い。すり抜けしないレベルは 5 に近い。
SonarQube MCP
+ Semgrep MCP
+ GitHub MCP
+ Cursor / Cline / Roo
+ CI品質ゲート
+ Branch Protectionおすすめ度：AI開発を前提にするなら高い。ただしMCPは権限設計が重要。すり抜けしないレベルは、CI強制と組み合わせて 4〜5。
SonarQube 有償版 / SonarCloud
+ Semgrep AppSec Platform
+ CodeQL / GitHub Advanced Security
+ SCA
+ Secret scanning
+ SBOMおすすめ度：セキュリティ要求が高い案件向け。価格は上がるが、脆弱性・依存関係・シークレット漏洩まで含めた統制ができる。
AI開発を含めるなら、「AIに任せる範囲」と「機械的に止める範囲」を明確に分けるべきです。
| ルール | 内容 | 理由 |
|---|---|---|
| CI必須 | main/developへのマージはCI成功を必須にする | ローカル実行忘れ・AI生成コードの未検査混入を防ぐ |
| 品質ゲート必須 | SonarQube等のQuality GateをPR条件に入れる | 品質をレビュー担当者の気合いに依存させない |
| 言語別標準を固定 | JavaならCheckstyle/SpotBugs/PMD、TSならESLint、PythonならRuff等 | 案件ごとの品質ばらつきを抑える |
| 独自規約はSemgrep化 | 禁止実装や設計違反は自然文だけでなくルール化する | ADRや規約書だけではすり抜ける |
| AIレビューは補助 | AIの指摘は参考扱い。合否判定はCIで行う | AIレビューには見逃し・誤検出がある |
| MCPは最小権限 | 読み取り専用、公式MCP優先、必要最小限のリポジトリアクセス | AIエージェントの権限過多を避ける |
本資料の評価は、2026-06時点の公開情報と一般的な開発運用を前提にした実務評価です。価格・提供機能・ライセンス条件は変更される可能性があるため、正式導入時は各公式ページで再確認してください。