uprinmatusИзвестия Юго-Западного государственного университета. Серия: Управление, вычислительная техника, информатика. Медицинское приборостроениеProceedings of the Southwest State University. Series: IT Management, Computer Science, Computer Engineering. Medical Equipment Engineering2223-1536Юго-Западный государственный университет10.21869/2223-1536-2026-16-2-167-181uprinmatus-488Research ArticleСИСТЕМНЫЙ АНАЛИЗ И ПРИНЯТИЕ РЕШЕНИЙSYSTEM ANALYSIS AND DECISION-MAKINGСравнительное исследование инструментов статического анализа РНР-кодаComparative study of PHP code static analysis toolshttps://orcid.org/0009-0009-5291-4561ОгневойЯ. В.OgnevoyYa. V.

Огневой Ярослав Владимирович, студент факультета информационных технологий

ул. Большая Семёновская, д. 38, г. Москва 107023

Yaroslav V. Ognevoy, Student at the Faculty of Information Technologies

38 Bolshaya Semyonovskaya Str., Moscow 107023

ya.ognevoy@yandex.ruhttps://orcid.org/0000-0003-3940-9607СпеваковА. Г.SpevakovA. G.

Спеваков Александр Геннадьевич, кандидат технических наук, доцент

ул. Большая Семёновская, д. 38, г. Москва 107023

Alexander G. Spevakov, Cand. Sci. (Engineering), Associate Professor

38 Bolshaya Semyonovskaya Str., Moscow 107023

aspev@yandex.ruhttps://orcid.org/0000-0003-0575-3055КалуцкийИ. В.KalutskiyI. V.

Калуцкий Игорь Владимирович, кандидат технических наук, доцент

ул. Большая Семёновская, д. 38, г. Москва 107023

Igor V. Kalutskiy, Cand. Sci. (Engineering), Associate Professor

38 Bolshaya Semyonovskaya Str., Moscow 107023

kalutsky_igor@mail.ruhttps://orcid.org/0000-0003-2577-4144КлименкоП. А.KlimenkoP. A.

Клименко Павел Алексеевич, кандидат экономических наук, доцент

ул. Ломоносова, д. 3, г. Курск 305016

Pavel A. Klimenko, Cand. Sci. (Economics), Associate Professor

3 Lomonosova Str., Kursk 305016

paaklimenko@fa.ruМосковский политехнический университетРоссияMoscow Polytechnic UniversityRussian FederationКурский филиал Финансового университета при Правительстве Российской ФедерацииРоссияKursk Branch of the Financial University under the Government of the Russian FederationRussian Federation202607082026162167181Copyright © Огневой Я.В., Спеваков А.Г., Калуцкий И.В., Клименко П.А., 20262026Огневой Я.В., Спеваков А.Г., Калуцкий И.В., Клименко П.А.Ognevoy Y.V., Spevakov A.G., Kalutskiy I.V., Klimenko P.A.Данная работа распространяется под лицензией Creative Commons Attribution 4.0.This work is licensed under a Creative Commons Attribution 4.0 License.https://uprinmatus.elpub.ru/jour/article/view/488

Целью исследования является сравнительный анализ инструментов статического анализа РНР-кода для оценки их эффективности в выявлении ошибок, потенциальных уязвимостей и проблем типизации на ранних этапах разработки веб-приложений. Особое внимание уделяется определению практической применимости рассматриваемых решений в проектах различного масштаба, а также их влиянию на повышение качества программного обеспечения, снижение числа дефектов в коде и минимизацию рисков безопасности.

Методы

Методы. В исследовании использован метод сравнительного анализа, основанный на тестировании инструментов на наборе типовых CUEHAPUES, отражающих распространённые ошибки и уязвимости РНР-приложений. Оценка инструментов проводилась по критериям полноты выявления ошибок, точности диагностики, гибкости настройки правил, удобства интеграции в процесс разработки, производительности и потребления ресурсов. Дополнительно был выполнен анализ документации и возможностей конфигурации. Все эксперименты проводились многократно для обеспечения статистической достоверности результатов.

Резулытаты

Резулытаты. В ходе исследования выявлены различия в глубине анализа, строгости проверки типов и механизмах настройки правил. Установлено, что инструменты демонстрируют различную чувствительность к логическим ошибкам, несоответствиям типов и потенциально небезопасным конструкциям. Определены их сильные и слабые стороны в контексте использования в малых и крупных проектах.

Заключение

Заключение. Результаты подтверждают эффективность применения инструментов статического анализа как средства повышения качества и безопасности РНР-кода. Выбор конкретного решения должен основываться на требованиях проекта, уровне строгости анализа и особенностях процесса разработки. Регулярное использование таких инструментов позволяет существенно снизить риск появления дефектов и уязвимостей, повышая надёжность и устойчивость веб-приложений.

The purpose of the research is a comparative analysis of static PHP code analysis tools to assess their effectiveness in identifying errors, potential vulnerabilities, and typing problems in the early stages of web application development. Particular attention is paid to determining the practical applicability of the solutions under consideration in projects of various scales, as well as their impact on improving software quality, reducing the number of defects in the code and minimizing security risks.

Methods

Methods. The study uses a comparative analysis method based on testing tools on a set of typical scenarios reflecting common errors and vulnerabilities of PHP applications. The tools were evaluated according to the criteria of completeness of error detection, accuracy of diagnosis, flexibility of rule configuration, ease of integration into the development process, productivity and resource consumption. Additionally, an analysis of documentation and configuration options was performed. All experiments were carried out repeatedly to ensure the statistical reliability of the results.

Results

Results. The study revealed differences in the depth of analysis, the rigor of type checking, and the mechanisms for configuring rules. It has been found that the tools exhibit varying sensitivity to logical errors, type inconsistencies, and potentially unsafe designs. Their strengths and weaknesses have been identified in the context of use in small and large projects.

Conclusion

Conclusion. The results confirm the effectiveness of using static analysis tools as a means of improving the quality and security of PHP code. The choice of a specific solution should be based on the requirements of the project, the level of rigor of the analysis and the specifics of the development process. Regular use of such tools can significantly reduce the risk of defects and vulnerabilities, increasing the reliability and stability of web applications.

статический анализ кодабезопасность PHPанализ уязвимостейкачество программного обеспечениябезопасная разработкаавтоматизированные инструменты анализаstatic code analysisPHP securityvulnerability analysissoftware qualitysecure developmentautomated analysis toolsReferencesПроверка кода на уязвимости на всех стадиях разработки / А. В. Скрыпников, В. В. Денисенко, И. А. Высоцкая, И. И. Савченко, K. С. Евтеева // Современные наукоемкие технологии. 2021. № 3. С. 77-81.Skripnikov A.V., Denisenko V.V., Vysotskaya I.A., Savchenko I.I., Evteeva K.S. Checking code for vulnerabilities at all stages of development. Sovremennye naukoemkie tekhnologii = Modern Science-Intensive Technologies. 2021;(3): 77-81. (In Russ.)Методика поиска уязвимостей в программном обеспечении, написанном на нескольких языках программирования / Б. А. Позин [и др.] // Труды Института системного программирования РАН. 2025. Т. 37, № 1. С. 122-132.Pozin B.A., et al. A methodology for searching for vulnerabilities in software written in several programming languages. Trudy Instituta sistemnogo programmirovaniya RAN = Proceedings of the Institute for System Programming of the Russian Academy of Sciences. 2025;37(1):122–132. (In Russ.)Кубрин Г. C., Зегжда Д. П. Поиск уязвимостей программного обеспечения с применением ансамбля алгоритмов анализа графового представления кода // Проблемы информационной безопасности. Компьютерные системы. 2023. № 4. С. 148—158.Kubrin G.S., Zegzhda D.P. Search for software vulnerabilities using an ensemble of algorithms for analyzing graph representation of code. Problemy informatsionnoi bezopasnosti. Komp'yuternye sistemy = Problems of Information Security. Computer Systems. 2023;(4):148–158. (In Russ.)Seara J. Р., Serrdao С. Automation of system security vulnerabilities detection using open-source software // Electronics. 2024. Vol. 13, N 5. P. 873.Seara J.P., Serrão C. Automation of system security vulnerabilities detection using open-source software. Electronics. 2024;13(5):873. 5. Rio A., Fernando Brito e Abreu. PHP code smells in web apps: Evolution, survival and anomalies. Journal of Systems and Software. 2023;200:111644.Rio А., Fernando Brito e Abreu. PHP code smells in web apps: Evolution, survival and anomalies // Journal of Systems and Software. 2023. Vol. 200. P. 111644.Lenarduzzi V., et al. A critical comparison on six static analysis tools: Detection, agreement, and precision. Journal of Systems and Software. 2023;198:111575.A critical comparison on six static analysis tools: Detection, agreement, and precision/ V. Lenarduzzi [et al.] // Journal оf Systems and Software. 2023. Vol. 198. P. 111575. https://doi.org/10.48550/arXiv.2101.08832.Zhao J., et al. Benchmarking static analysis for PHP applications security. Entropy. 2025;27(9):926.Benchmarking static analysis for PHP applications security / J. Zhao [et al.] // Entroру. 2025. Vol. 27, N 9. P. 926.Charugin V.V., et al. Analysis of software code preprocessing methods to improve the efficiency of using large language models in vulnerability detection tasks. Computational Nanotechnology. 2025;12(3):67-79. (In Russ.)Анализ методов предобработки программного кода для повышения эффективности применения больших языковых моделей в задачах обнаружения уязвимостей / В. В. Чаругин [и др.] // Computational nanotechnology. 2025. Vol. 12, N 3. Р. 67—79.Schuckert F., Katt B., Langweg H. Insecurity refactoring: Automated injection of vulnerabilities in source code. Computers & Security. 2023;128(10):103121. https://doi.org/10.1016/j.cose.2023.103121.Schuckert F., Katt B., Langweg H. Insecurity refactoring: Automated injection of vulnerabilities in source code // Computers & Security. 2023. Vol. 128, N 10. P. 103121. https://doi.org/10.1016/j.cose.2023.103121.Mazhar T., et al. Analysis of IoT security challenges and its solutions using artificial intelligence. Brain Sciences. 2023;13(4):683.Analysis of IoT security challenges and its solutions using artificial intelligence / T. Mazhar [et al.] // Brain sciences. 2023. Vol. 13, N 4. P. 683.Benzekki K., Messai M.L. Empowering Cybersecurity Analysis: Unifying CVE, CWE, and CPE through Knowledge Graphs. Computers & Security. 2025;160:104726. https://doi.org/10.1016/j.cose.2025.104726.Benzekki K., Messai M. L. Empowering Cybersecurity Analysis: Unifying CVE, CWE, and CPE through Knowledge Graphs // Computers & Security. 2025. Vol. 160. P. 104726. https://doi.org/10.1016/j.cose.2025.104726.Shaikhelislamov D.S., Drobyshevskiy M.D., Belevantsev A.A. Ensuring Trustworthy Code: Leveraging a Static Analyzer to Identify and Mitigate Defects in Generated Code. Journal of Mathematical Sciences. 2024;540:233-251.Shaikhelislamov D. S., Drobyshevskiy M. D., Belevantsev A. A. Ensuring Trustworthy Code: Leveraging a Static Analyzer to Identify and Mitigate Defects in Generated Code // Journal of Mathematical Sciences. 2024. Vol. 540. P. 233–251.Pilkevich P.V., Spevakov A.G., Kalutskiy I.V. Model of a Decision-Making System Based on Incident Monitoring. Trudy MAI = Proceedings of the MAI. 2025;(143):1-27. (In Russ.)Пилькевич П. B., Спеваков А. Г., Калуцкий И. В. Модель системы принятия решений на основании мониторинга инцидентов // Труды МАИ. 2025. № 143. С. 1-27.Vorotnikova T.Yu. Reliable Code: Static Analysis of Program Code as a Means of Improving the Reliability of Information Systems Software. Informatsionnye tekhnologii v UIS = Information Technologies in the UIS. 2020;(2):22–27. (In Russ.)Воротникова Т. Ю. Надежный код: статический анализ программного кода как средство повышения надежности программного обеспечения информационных систем // Информационные технологии в УИС. 2020. № 2. С. 22-27.Markov A.S., et al. Comparative Analysis and Selection of Static Code Security Analyzers. Voprosy kiberbezopasnosti = Cybersecurity Issues. 2024;(5):79–88. (In Russ.)Сравнительный анализ и выбор статических анализаторов безопасности кода / А. С. Марков, И. С. Антипов, С. С. Арустамян, Н. А. Магакелова // Вопросы кибербезопасности. 2024. № 5 (63). С. 79—88.Alqaradaghi M., Morse G., Kozsik T. Detecting Security Vulnerabilities with Static Analysis – A Case Study. Pollack Periodica. 2022;17(2):1–7.Alqaradaghi M., Morse G., Kozsik T. Detecting security vulnerabilities with static analysis – A case study // Pollack Periodica. 2022. Vol. 17, N 2. %. 1–7. 17. SQL injection attack detection in network flow data / Ignacio Samuel Crespo- Martínez, Ángel Manuel Guerrero-Higueras, Adrián Campazas Vega, Virginia Riego // Computers & Security. 2023. Vol. 127, N 4. P. 103093.Ignacio Samuel Crespo-Martínez, Ángel Manuel Guerrero-Higueras, Adrián Campazas Vega, Virginia Riego. SQL injection attack detection in network flow data. Computers & Security. 2023;127(4):103093.An XSS Attack Detection Model Based on Two-Stage AST Analysis / Qiuhua Wang, Chuangchuang Li, Lifeng Yuan, Dong Wang, Yeru Wang, Yizhi Ren, Weizhi Meng // IEEE Transactions on Dependable and Secure Computing. 2026. Vol. 23, is. 2. P. 4071–4084.Qiuhua Wang, Chuangchuang Li, Lifeng Yuan, Dong Wang, Yeru Wang, Yizhi Ren, Weizhi Meng. An XSS Attack Detection Model Based on Two-Stage AST Analysis. IEEE Transactions on Dependable and Secure Computing. 2026;23(2):4071-4084.Vasileva V.1, Borodin А. Е., Volkov А. Е. Detection оf dead function calls аs source code defects through static analysis // Труды Института системного программирования РАН. 2025. Т. 37, Ne 4. С. 65-78.Vasileva V.I., Borodin A.E., Volkov A.E. Detection of dead function calls as source code defects through static analysis. Trudy Instituta sistemnogo programmirovaniya RAN = Proceedings of ISP RAS. 2025;37(4):65-78.A large scale analysis of code security in public repositories / Ciprian Oprisa, Dominic Octavian Grigoruţ, Haralambos Mouratidis, Eftychia Lakka // International Journal of Information Security. 2026. Vol. 25, N 1. P. 24. https://doi.org/10.1007/s10207-025-01187-w.Ciprian Oprisa, Dominic Octavian Grigoruţ, Haralambos Mouratidis, Eftychia Lakka. A large scale analysis of code security in public repositories. International Journal of Information Security. 2026;25(1):24. https://doi.org/10.1007/s10207-025-01187-w.

The authors declare that there are no conflicts of interest present.