Ajandan teslim aldığımız kod için hangi kod inceleme araçları ve yöntemleri kullanılmalı?

İsmet10 ay önce·49 mesaj·29,9 B görüntülenmeKapatıldı#kod inceleme #yazılım kalitesi #kaynak kod #statik analiz

İsmetKatılımcı

Görev: Lojistik müdürü
Katılım: Kas 2023
Mesaj: 112

10 ay önce#1

San Francisco merkezli sağlık teknolojisi girişimimiz için geliştirdiğimiz hasta randevu ve tele-sağlık platformunun ilk versiyonunu dışarıdan bir yazılım ajansına yaptırdık. Dört aylık süreç için yaklaşık 55.000 dolar ödedik ve proje sözleşmeye uygun şekilde tamamlanıp kod deposu bize devredildi.

Şimdi ürünü şirket içinde istihdam ettiğimiz bi kıdemli yazılımcı ve iki stajyer ile devam ettirmek istiyoruz. Ancak devraldığımız kodun (Node.js ve React mimarisi) ne kdr temiz olduğunu, gizli zafiyetler veya ileride başımıza dert açacak mimari borçlar içerip içermediğini kestiremiyoruz.

Piyasada statik analiz yapan otomatik kod inceleme araçları olduğunu biliyoruz ama bunlar gerçekten güvenilir sonuç verir mi? Kodun kalitesini ve güvenlik seviyesini tam olarak denetlemek için nasıl bir yol izlemeliyiz, sadece araçlara güvenmek yeterli olur mu?

Aycan K***Katılımcı

Görev: İnsan kaynakları müdürü
Sektör: Elektrik-elektronik
Yapı: 40 kişilik üretim firması
Katılım: Tem 2024
Mesaj: 122

10 ay önceEn çok yardımcı olan#2

Kısa cevap: Otomatik kod inceleme araçları sözdizimi hatalarını bilinen güvenlik açıklarını ve eskiyen paket bağımlılıklarını tespit etmekte mükemmeldir ancak mimari kusurları veya iş mantığı hatalarını anlayamaz. En sağlıklı yöntem önce otomatik tarama araçlarıyla temel teknik borcu tespit etmek ardından 15-20 saatlik bağımsız bir kıdemli mimar denetimi almaktır.

İnceleme sürecini üç kademede yürütmeniz gerekir:

İlk adım bağımlılık ve gizli anahtar taramasıdır. yani otomatik araçlarla kod deposundaki üçüncü taraf kütüphanelerin bilinen zafiyetlerini ve koda kazara gömülmüş API anahtarlarını ya da veritabanı şifrelerini taratın. Ajanslar sıklıkla güncellenmemiş veya desteği bitmiş paketler kullanabilir.

İkinci adım, statik kod analizi (SAST) ve linter araçlarıdır. Bu araçlar karmaşıklık skorunu (cyclomatic complexity), test kapsamını ve tekrarlanan spagetti blokları saniyeler içinde listeler. Kodun okunabilirliği ve bakım maliyeti hakkında net bir karne verir.

Üçüncü ve en kritik adım ise insan gözüdür. Hiçbi otomatik araç bi sağlık platformundaki yetkilendirme mantığını (örneğin bi hastanın başka bi hastaya ait randevu detayına erişmesini engelleyen kontrolleri) veya veri tabanı indeksleme hatalarını tam olarak denetleyemez.

Yeni işe aldığınız kıdemli yazılımcıya bi hafta zaman tanıyın; otomatik araçların çıktılarını da önüne koyarak çekirdek akışları manuel incelesin... Gerekiyorsa bağımsız bi danışmandan mimari denetim seansı satın alın.

Hilal B***Veteran

Görev: Grafik tasarımcı
Sektör: Elektrik-elektronik
Yapı: bölge bayisi
Katılım: Ara 2023
Mesaj: 17

10 ay önce#3

Statik araç çalıştırırken sadece kod standartlarına değil, güvenlik odaklı SAST kurallarına da bakın. SQL enjeksiyonu, güvensiz doğrudan nesne başvuruları (IDOR) ve yetersiz girdi doğrulama noktaları otomatik kurallara çok rahat yakalanır. Ayrıca test coverage oranına bakın; ajans birim test yazmadıysa o kodu refactor etmek kabus olur.

Mustafa G***Katılımcı

Görev: Satın alma sorumlusu
Sektör: Mobilya üretimi
Yapı: orta ölçekli işletme
Katılım: Ara 2022
Mesaj: 72

10 ay önce#4

Geçen yıl benzer şekilde 40.000 dolara devraldığımız bi mobil arka yüzü vardı. işte otomatik tarayıcılar yeşil ışık yaktı çünkü sözdizimi pırıl pırıldı... Fakat canlıya aldıktan iki hafta sonra veritabanı kilitlendi; meğer ajans ilişkisel veritabanında hiçbi tabloya foreign key ve index atmamış... Araç bunu asla göremiyor.

Hasan E***Katılımcı

Görev: Sekreter
Sektör: Perakende
Yapı: 20 kişilik firma
Katılım: Eyl 2023
Mesaj: 59

9 ay önce#5

Biz devir aşamasında bağımsız bir kıdemli mimara 2.500 dolar ödeyip 15 saatlik derin inceleme yaptırdık. Bize ajansın teslim ettiği kodda ölçeklenmeyi engelleyecek 4 ana mimari hata ve 8 tane açıkta kalmış yetkilendirme açığı çıkardı. Verdiğimiz paranın karşılığını fazlasıyla aldık.

Yiğit Ç***KatılımcıTopluluk üyesi

Katılım: Mar 2025
Mesaj: 107

9 ay önce#6

Ajans işlerinde otomatik araç raporlarına çok aldanmayın. Ajanslar bazen analiz araçları uyarı vermesin diye fonksiyonları parçalara bölüp sözde temiz kod yazar ama iş mantığı çorba gibidir. Araçlar kodun doğru çalıştığını onaylamaz, sadece sözdizimi kurallarına uyduğunu söyler.

Havva E***Katılımcı

Görev: Finans müdürü
Sektör: Elektrik-elektronik
Yapı: orta ölçekli işletme
Katılım: Ağu 2024
Mesaj: 150

9 ay önce#7

Hemen yarın yapabileceğiniz ilk şey: Kod deposunun sürüm geçmişini (git log) inceleyin. Ajans işi son 3 günde panikle mi pushlamış, yoksa 4 ay boyunca düzenli commit'ler ve açıklayıcı mesajlarla mı ilerlemiş? Sürüm disiplini, kodun iç yapısının en büyük habercisidir.

Kadir T***KatılımcıTopluluk üyesi

Katılım: Nis 2026
Mesaj: 25

9 ay önce#8

Ajans teslimlerinde kontrol listesi: 1) Harici servis API şifreleri kod içinde unutulmuş mu? 2) Açık kaynak kütüphanelerin lisansları ticari kullanımınıza uygun mu? 3) Dağıtım (deployment) ve yerel kurulum adımları tek bir dökümanda eksiksiz çalışıyor mu?

Elif V***Katılımcı

Görev: Kalite kontrol elemanı
Sektör: Makine imalatı
Yapı: 20 kişilik firma
Katılım: Kas 2025
Mesaj: 40

9 ay önce#9

test yazılmış mı mutlaka ona bakın bence. ajanslar genelde yetiştiremedik diyip birim test yazmaz, sonrasında bi saır kod değiştirirsiniz ve tüm mimrai yrle bi olur.

İlker Ö***Uzman

Görev: Mağaza görevlisi
Sektör: Mobilya üretimi
Yapı: aile şirketi
Katılım: Tem 2022
Mesaj: 9

9 ay önce#10

yeni aldığınız kıdemli arkadaşa biraz sabbır gösterin. başkasının yazdığı kodu devralmak yazılımcılar için dünyanın en sinir bozucu işidir sonra otomatik araçlar en azından tartışmaları kişiselleşmektne çıkarıp objektif metriklere bağlar.