Агентство сдает код — есть ли инструмент проверить качество перед приемкой?

Kemal K***11 месяцев назад·44 сообщения·14,4 тыс. просмотра#анализ кода #приемка софта #управление агентством #исходный код

Kemal K***Ветеран

Должность: Разработчик ПО
Отрасль: Производство мебели
Тип организации: семейный бизнес
Дата регистрации: февр. 2023 г.
Сообщение: 57

Doki · Интерфейсный дизайн · 2026

11 месяцев назад#1

Для нашей компании в Мюнхене (оптовая торговля промышленными деталями) наняли местное диджитал-агентство. Они разрабатывают B2B-портал для дилеров, где клиенты смогут видеть свои спецпрайсы и оформлять заказы. Бюджет проекта — 22.000 Euro, в следующем месяце финальная сдача и передача кода.

По договору исходный код передают нам в репозиторий. Проблема в том, что я не технарь, и программиста в штате нет, чтобы построчно разобрать архитектуру, уязвимости или раздутый копипаст. Агентство уверяет, что всё сделано на совесть, но перед тем как подписать акт приемки, хочется спать спокойно.

Существует ли автоматический инструмент анализа исходного кода, понятный владельцу бизнеса без навыков разработки, который покажет общее техническое состояние, уязвимости и соответствие стандартам? Что именно такие сервисы проверяют, а в чем они бессильны?

Yağmur A***Участник

Должность: Специалист технического сервиса
Отрасль: Медицинские услуги
Тип организации: Компания на 300 человек
Дата регистрации: февр. 2024 г.
Сообщение: 349

11 месяцев назадСамый полезный#2

Короткий ответ: сканеры статического анализа кода могут выдать единый отчет по качеству написания, уязвимостям безопасности и дублирующимся блокам. Однако они проверяют только синтаксис и известные уязвимости; оценить, правильно ли заложена бизнес-логика или не ляжет ли база данных под нагрузкой, автоматика сама по себе не сможет.

Перед приемкой у агентства можно сделать следующее: 1) Подключите репозиторий к облачным сервисам статического анализа (у многих есть бесплатный пробный период). Они выдадут понятные метрики по уязвимостям, сложности и поддерживаемости кода с итоговой оценкой. 2) Запустите сканеры зависимостей: они проверят сторонние библиотеки на актуальность и известные дыры. 3) Официально запросите у агентства отчет о покрытии кода тестами (test coverage), чтобы увидеть, написаны ли модульные тесты и какой объем логики они закрывают.

Если в отчете вылезет масса критических ошибок, у вас будет законный повод передать список агентству и потребовать исправлений до подписания акта приемки. И все же при инвестициях в 22.000 Euro самое разумное — взять эти отчеты и нанять независимого сеньор-разработчика за 400–800 Euro на 3-4 часа для архитектурного аудита.

Barış Y***Эксперт

Должность: Бэкенд-разработчик
Тип организации: бутиковое агентство
Дата регистрации: июнь 2023 г.
Сообщение: 296

11 месяцев назад#3

Автоматические сервисы делают статический анализ (SAST). Они сразу подсвечивают риски SQL-инъекций, оставленные в коде API-ключи и кривые функции. Первым делом смотрите на три вещи: «критические уязвимости», «процент дублирования кода» (нормально — до 5%) и «покрытие юнит-тестами».

Zehra D***Эксперт

Должность: ИТ-директор
Отрасль: Оптовая торговля продуктами питания
Тип организации: Компания на 120 человек
Дата регистрации: февр. 2025 г.
Сообщение: 44

Doki · Договор на обслуживание серверов · 2024

11 месяцев назад#4

Утилита покажет, что код написан аккуратно, но не поймет, правильно ли портал считает НДС при оформлении заказа. Видел кучу систем с идеальным статическим анализом, которые в первый же день на проде криво сохраняли суммы заказов. Не полагайтесь слепо на автоматику, сценарии надо гонять вручную.

Ali T***УчастникУчастник сообщества

Дата регистрации: сент. 2023 г.
Сообщение: 37

11 месяцев назад#5

Мы на проекте самописной CRM за 15.000 Euro наняли независимого спеца на аудит кода, отдали 600 Euro. В отчете нашли старую библиотеку PHP и 4 запроса, намертво вешавших базу. Агентство всё исправило без лишних споров. Эти 600 Euro сэкономили нам минимум 3.000 Euro на будущих переделках.

Merve T***ЭкспертУчастник сообщества

Дата регистрации: февр. 2024 г.
Сообщение: 13

11 месяцев назад#6

Посмотрите договор. Есть ли пункт о гарантии или исправлении багов на 30–60 дней после сдачи? Даже если вы ткнете агентство носом в отчет анализатора, без четких требований к стандартам кода в договоре они могут просто заявить «код работает, ничего не знаем».

Hatice K***УчастникУчастник сообщества

Дата регистрации: май 2024 г.
Сообщение: 131

11 месяцев назад#7

Не стройте из себя айтишника скажите прямо: «По нашему регламенту мы прогоняем код через независимый статический анализатор и прикладываем отчет к акту приемки». Даже эта фраза заставит их вычистить явный мусор перед сдачей.

Dilara Y***Ветеран

Должность: HR-директор
Отрасль: Недвижимость
Тип организации: команда из 8 человек
Дата регистрации: окт. 2024 г.
Сообщение: 98

11 месяцев назад#8

А эти сервисы находят вредоносный код или скрытые закладки? ну и можно ли понять, писало агентство проект с нуля или просто надергало готовых кусков из сети?

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Ferhat G***Новый участникУчастник сообщества

Дата регистрации: май 2026 г.
Сообщение: 180

11 месяцев назад#9

При приемке требуйте от агентства минимум три документа: 1) инструкцию по развертыванию и запуску, 2) список лицензий сторонних open-source библиотек (они должны быть пригодны для коммерческого использования), 3) скрипты деплоя, подтверждающие, что проект поднимается с нуля в чистом окружении.