Заплатили за код-ревью, а прислали сплошной птичий язык: как читать такой отчет?

Смотрите только на безопасность с пометками «Critical» и «High». Если там есть вещи из OWASP Top 10 (типа поломанного контроля доступа или SQL-инъекций), это не какие-то там абстрактные «запахи», а прямые дыры для утечки данных, за которые можно и под суд пойти. Тут никаких компромиссов быть не может.

Аудиторы за такие деньги обязаны провести вам 30-минутный созвон. Спросите у них прямо в лоб: «Если мы завтра выкатимся в прод и зайдет 1.000 человек одновременно, из-за каких конкретно трех пунктов мы ляжем первыми?» И отдайте агентству только эти три пункта.

Контора, которой вы отвалили 4.000 фунтов стерлингов, скорее всего, просто прогнала код через опенсорсный автосканер и впарила вам сгенерированный PDF со своим логотипом. Вы уверены, что они вообще вручную проверяли логику приложения?

В моем первом стартапе мы из-за похожего отчета чуть не засудили подрядчиков. Я видел слова «запах кода» и думал, что серваки щас взорвутся. А оказалось, что сканер просто ругался на то, что названия функций написаны с нарушением правил английской грамматики. Так что без паники, сначала покажите это независимому технарю.

Сортируйте задачи так: 1) Уязвимости базы данных и клиентской безопасности — чинить сию секунду, 2) Запросы, вызывающие дедлоки при одновременных операциях — в следующий спринт, 3) Оформление кода и нехватку документации — пилить только тогда, когда вообще нечего делать.

если скинете агентству отчет целиком они сразу встануут в позу и забьют потом надергайте скринов чисто по реальным критическим багам и напишите мол это нарушает критерии приемки, фиксите.

а «запах кода» — это когда серваки перегреваются и железо гоирт или это у программистов такой сленг метафорический?

Краткое резюме для новичков: Ошибка, сделанная на стороне отчет по код-ревью, обычно исправима, но дорого.

Оставлю как заметку пригодится.

Я столкнулся с тем же два года назад. Решения работающие в малом масштабе рушатся при росте, я узнал это слишком поздно.

Это мое мнение, не утверждаю, что оно единственно верное.

Попробую.

Очень актуальная тема.

Обсуждение размылось, давайте структурируем. Люди защищают не процесс а привычку. Сопротивление идет оттуда.

Мы тоже какое-то время назад застряли на том же месте. Внедрение процесса управления изменениями не замедляет работу, а ускоряет её.

Ошибка, сделанная на стороне отчет по код-ревью, обычно исправима, но дорого.

Мои сомнения развеялись, спасибо.

сохранил.

Самое упускаемое из вида в теме отчет по код-ревью: Доступы должны открываться на компанию, а не на личные аккаунты.

Вы правы.

эта тема в архиве.