الوكالة تطلب مبلغاً إضافياً مقابل تحليل الكود المصدري الثابت (Static Code Analysis) — ما هذا، وهل هو ضروري؟

أدير مشاريع برمجية منذ سنوات، وهذا الطلب يبدو لي محاولة واضحة لزيادة الأرباح لا أكثر. فرق البرمجة الحديثة تدمج أدوات التحليل الثابت ضمن خطوط التكامل المستمر وتعمل تلقائياً مع كل كود جديد. أن يقولوا 'دعنا نفحص الكود الذي كتبناه بأنفسنا قبل التسليم ولكن ادفعوا مقابل ذلك' فهذا منطق غير مقبول.

التحليل الثابت يفحص البنية اللغوية للكود. ويكتشف الثغرات في استعلامات قواعد البيانات، أو مفاتيح الوصول المكشوفة، أو عدم توافق المكتبات قبل تشغيل الكود. هو مفيد بالطبع، لكنه مجرد تشغيل أداة واستخراج ملف PDF. ما لم يتضمن مراجعة يدوية دقيقة، فلا يوجد أي مبرر تقني ليكلف 1.800 EUR.

حدث معنا نفس الموقف في شتوتغارت في بوابة B2B بميزانية مشابهة بلغت 16.000 EUR. طلبوا 1.200 EUR ورفضنا الدفع. استلمنا الأكواد وأرسلناها لمبرمج أول مستقل قام بتحليل خارجي مقابل 350 EUR. ووجدنا 8 ثغرات حرجة ألزمنا الوكالة بإصلاحها ضمن الضمان.

لن تتمكن أصلاً من الوثوق بالتقرير الذي ستقدمه الوكالة نفسها. فعندما يشغلون أدواتهم، من الوارد جداً أن يخففوا معايير الفحص ليظهر التقرير نظيفاً تماماً. لا يمكن أن يكون المطور والمدقق نفس الطرف. إذا كنت ستدفع ميزانية إضافية، فلا تعطها أبداً لوكالة المشروع نفسها.

إذا لم نجرِ هذا التحليل إطلاقاً، فهل سنواجه مشاكل أمنية أثناء تشغيل النظام؟ يعني هل يؤدي عدم إجراء التحليل إلى تعطل الموقع مباشرة، أم أن الأمر مقتصر فقط على أخطاء خلفية غير مرئية؟

افتح عقدك فوراً واقرأ بند معايير التسليم. إذا كان يتضمن عبارة 'تسليم كود آمن ومطابق لمعايير القطاع'، فاطلب هذا التقرير كوثيقة جودة إلزامية دون أي رسوم إضافية. وإذا رفضوا فلا تدفع شيئاً وانتظر التسليم.

لا تدفع ابدا. كل ما سيفعلونه تشغيل برنامج بضغطة زر وتصدير ملف pdf. حرام يضيع المبلغ، تفحصه بعد الاستلام عند شخص خارجي افضل بكثير.

وفقاً لمبادئ عقود المقاولة في القانون الألماني، يلتزم المقاول بتسليم منتج خالٍ من العيوب. والملاحظات التي تُكتشف نتيجة تحليل الكود الثابت هي في الأساس عيوب يجب تداركها قبل التسليم. لذلك، فإن تحميل تكلفة هذا التدقيق على صاحب العمل أمر قابل للطعن قانونياً.

دعني أشرح كيف يتم التطبيق عملياً.. لكن على كل حال تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنت محق. أرخص عرض سعر هو غالباً الأقل تفكيراً.

لو كنت مكانك، لسلك هذا المسار.

موضوع في الوقت المناسب تمامًا.

أنا أيضًا متحمس لمعرفة ذلك.

لا تتجاهل شيئاً: أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

عشنا تقريباً نفس التجربة العام الماضي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

دعني أتركها كملاحظة، قد تكون مفيدة.

عندنا نفس المشكلة.

أوافقك الرأي تمامًا. كل من يستعجل في تحليل الكود الثابت يتعثر في نفس النقطة.

القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. هذا كل شيء، أرجو المعذرة إذا أطالت.

عندنا نفس المشكلة. الخطأ المرتكب من جانب تحليل الكود الثابت قابل للإصلاح عادةً، لكنه مكلف.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أترك تنبيهًا. إذا لم تُكتب معايير القبول، فإن وقت انتهاء العمل يبقى مفتوحاً للنقاش.

لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً. صححوا لي إن أخطأت.