L'agenzia sta per consegnare il codice: esiste un tool per verificarne la qualità prima dell'accettazione?

I tool automatici fanno analisi statica del codice (SAST). Rilevano subito rischi di SQL injection, chiavi API lasciate in chiaro e funzioni scritte fuori standard. I primi tre parametri da guardare sono: "Errori critici di sicurezza", "Percentuale di codice duplicato" (sotto il 5% è un valore accettabile) e "Copertura dei test unitari".

Il tool può dirti che il codice rispetta gli standard, ma non saprà mai se il portale calcola correttamente l'IVA nel carrello. Ho visto fin troppi software passare l'analisi statica con zero errori e poi, al day one in produzione, sbagliare a salvare i totali degli ordini. Non fidatevi ciecamente dell'automazione, i test di scenario sono indispensabili.

Noi per un progetto CRM su misura da 15.000 Euro abbiamo fatto fare una code review a un professionista indipendente: ci ha chiesto 600 Euro. Nel report sono saltate fuori una vecchia libreria PHP e 4 query che avrebbero mandato in blocco il database. L'agenzia ha sistemato tutto senza fiatare. Quei 600 Euro spesi ce ne hanno risparmiati almeno 3.000 di modifiche future.

Controllate il contratto. C'è una clausola di garanzia o di bug fixing a 30 o 60 giorni dalla consegna? Perché anche se sbatti loro in faccia il report dell'analisi del codice, se nel contratto non c'è una clausola vincolante sugli standard qualitativi, l'agenzia può semplicemente liquidarti dicendo "il codice funziona".

Non fingerti uno sviluppatore sii trasparente con l'agenzia. Di' loro chiaramente: "Per nostra procedura aziendale interna sottoporremo il codice a un tool indipendente di analisi statica e allegheremo il report al verbale di consegna". Solo sentire questa frase basterà a far sì che diano una bella ripulita al codice prima di consegnarlo.

Questi tool riescono a trovare anche eventuali malware o virus nascosti nel codice? cioè e si può capire se l'agenzia ha sviluppato davvero il progetto da zero oppure se ha copiato codice già pronto da internet?

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

I tre documenti minimi da pretendere dall'agenzia al momento del rilascio sono: 1) Manuale di installazione e avvio del progetto, 2) Elenco delle licenze di tutte le librerie open source utilizzate (devono essere compatibili con l'uso commerciale), 3) Script di deployment che dimostrino che il sistema si avvia da zero in un ambiente indipendente e pulito.

Concordo pienamente. cioè non abbiate paura di chiedere chi non chiede paga sempre di più.

L'errore commesso da strumento di analisi del codice sorgente è generalmente reversibile ma costoso. Se avete domande, scrivete, rispondo per quanto possibile.

Ho vissuto la stessa cosa.

concordo pienamente ma l'errore commesso da strumento di analisi del codice sorgente è generalmente reversibile ma costoso.

un report settimanale scritto sull'avanzamento è molto più utile che chiedere date e spero che le sia utile.

Il punto più trascurato riguardo a strumento di analisi del codice sorgente è questo: I primi tre mesi vanno bene, i problemi emergono al quarto mese.

È tutto, scusate se mi sono dilungato.

Corretto.

Avete ragione, sono passato anch'io per la stessa strada. L'offerta più economica è spesso quella meno ponderata.

Lascio una nota, potrebbe servire.

Avete ragione, sono passato anch'io per la stessa strada. Se il contratto non specifica la proprietà del codice, al momento di andarsene non hai potere contrattuale.

Confermato dall'esperienza.

Su questo punto non sono d'accordo. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Grazie mille mi è stato molto utile.

La discussione si è dispersa, la riassumo. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Chiedete chi ha preparato l'offerta e chi farà il lavoro.

A me è successo l'esatto contrario, per questo scrivo. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Correggetemi se sbaglio.