Abbiamo pagato per una code review ma è piena di gergo tecnico: come si legge un report di revisione del codice?

Concentrati sulle voci di sicurezza etichettate come "Critical" e "High". Soprattutto se ci sono vulnerabilità che rientrano nella OWASP Top 10 (come autorizzazioni rotte o SQL injection), non si tratta di semplici code smell, ma di falle dirette per il furto di dati che possono avere risvolti legali. Su queste cose non si transige.

Quelli dell'audit vi devono almeno 30 minuti di sessione Q&A. Chiedetegli a bruciapelo: "Se domani andiamo live e arrivano 1.000 utenti insieme, quali sono i primi 3 problemi che faranno esplodere tutto?". All'agenzia passate solo quei 3 punti.

La società di audit a cui avete dato 4.000 sterline probabilmente ha solo lanciato un tool open source di scansione automatica sul codice e vi ha rifilato il PDF generato appiccicandoci sopra il proprio logo. Siete sicuri al 100% che abbiano analizzato a mano i bug di logica?

Alla mia prima startup stavo quasi per fare causa all'agenzia per colpa di un report simile. Dove leggevo "code smell" pensavo che il sistema stesse per saltare in aria da un momento all'altro. Poi si è scoperto che il tool si lamentava solo perché i nomi delle funzioni non rispettavano la grammatica inglese. Prima di farsi prendere dal panico meglio farlo tradurre da un esperto.

Scremate le segnalazioni in quest'ordine: 1) falle che impattano la sicurezza del database e dei clienti subito, 2) query che rischiano di creare deadlock nei processi concorrenti nel prossimo sprint, 3) questioni puramente estetiche o mancanze di documentazione solo a tempo perso.

se mandate il reort intero all'agenzia si mettono sulla difensiva e nn fanno nulla. onestamente fate solo lo screenshot degli errori veri e inviateli dicendo ke non rispettano i criteri di consegna.

ma questa cosa dei "code smell" ha a che fare con il surriscaldamento dei server o problemi hardware oppure è solo un modo di dire metaforico tra programmatori?

Breve riassunto per i nuovi arrivati: L'errore commesso da report di revisione del codice è generalmente reversibile ma costoso.

Lascio una nota, potrebbe servire.

Ho vissuto la stessa cosa due anni fa. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Questa è la mia opinione non la scrivo come verità assoluta.

Ci proverò.

Argomento molto attuale.

La discussione si è dispersa la riassumo. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Introdurre un processo per le richieste di modifica non rallenta il lavoro, lo accelera.

L'errore commesso da report di revisione del codice è generalmente reversibile ma costoso.

Il mio dubbio è stato chiarito grazie.

salvato.

Il punto più trascurato riguardo a report di revisione del codice è questo: Le credenziali di accesso devono essere create a nome dell'azienda, non con account personali.

Ha ragione.

questo thread è archiviato.