代理商sonarqube靜態(tài)安全掃描工具-華克斯信息

SonarSource簡介

可靠性問題

這通常被稱為潛在的 bug 或代碼， 在運(yùn)行時(shí)將不具有預(yù)期的行為。此類問題將所有與操作風(fēng)險(xiǎn)或運(yùn)行時(shí)意外行為有關(guān)的內(nèi)容分組。它通常采用可能導(dǎo)致業(yè)務(wù)中斷的關(guān)鍵編程錯(cuò)誤的形式。其中的一些問題將存在于簡單的不符合jia做法的情況， 但大多數(shù)將通過對(duì)代碼的深入分析和代碼的符號(hào)執(zhí)行來檢測， 以了解程序中任何給的變量的狀態(tài)。安全問題

這通常被稱為程序中的漏洞或缺陷， 可能導(dǎo)致應(yīng)用程序的使用方式與設(shè)計(jì)不同。這類問題將所有與程序有缺陷的事情進(jìn)行分組， 這些漏洞可以被利用來使它的行為與它的設(shè)計(jì)不同。安全漏洞 (如 SQL 注入或跨站點(diǎn)腳本) 可能是由于編碼和體系結(jié)構(gòu)實(shí)踐不佳造成的。這些問題在 CWE 和證書所維護(hù)的列表中有很好的記錄

如何在軟件開發(fā)工作流中構(gòu)建質(zhì)量

遠(yuǎn)見卓識(shí)視圖， 顯示每個(gè)測試在運(yùn)行時(shí)的執(zhí)行時(shí)間

假設(shè)你是一個(gè)希望成長為一家中型科技公司的初創(chuàng)企業(yè)--介于30到100工程師之間。招聘是快速發(fā)生的， 而且你的代碼數(shù)量也在快速增長。在較早的階段， 貴公司專注于證明產(chǎn)品。一切都是規(guī)模較小， 你可以循環(huán)快速。現(xiàn)在， 隨著你的成長， 你有更多的在編寫代碼和更多的變量的組合。

這是當(dāng)你注意到產(chǎn)品質(zhì)量開始惡化， 你不能像你希望的那樣快速發(fā)布代碼。在擴(kuò)展業(yè)務(wù)時(shí)， 有越來越多的變量需要進(jìn)行調(diào)整， 您可能會(huì)忽略更多測試的需要， 并在測試上花費(fèi)更多的時(shí)間。

如果你決定聘請(qǐng)一個(gè) QA 經(jīng)理， 而后者又帶來了一批自動(dòng)化工程師， 你就可以走出困境。硒測試的覆蓋率很高。但隨著時(shí)間的推移， 事情又開始放慢了。所有的自動(dòng)化和善意， 你建立了硒覆蓋開始打破和失敗， 它反復(fù)暫停軟件工廠。

我們開始的地方

當(dāng)我加入 Shutterstock 時(shí)， 我對(duì)公司的自動(dòng)化測試覆蓋率印象深刻。幾乎每一個(gè)功能的網(wǎng)站上都有測試覆蓋率的形式， 硒端對(duì)點(diǎn)測試。Shutterstock 有一個(gè)開發(fā)工作流程的地方通過詹金斯， 將阻止部署到生產(chǎn)， 如果硒測試失敗。我喜歡這樣;這意味著除非所有的測試都通過了， 否則任何人都不能將任何東西放到生產(chǎn)中。

但不久之后， 我意識(shí)到， 我們的公司， 這是每天發(fā)布多次， 已經(jīng)變成了一個(gè)公司， 現(xiàn)在被禁止發(fā)布多天一次， 主要是因?yàn)槭〉奈鴾y試。常見的情況是， 測試失敗不是因?yàn)楫a(chǎn)品損壞， 而是因?yàn)樗鼈兒艽嗳酢?/p>

一些事情導(dǎo)致了這一點(diǎn):

終端端 selenium-based 驗(yàn)收測試成為了每個(gè)人都依賴于測試的唯yi形式的自動(dòng)化測試。許多團(tuán)隊(duì)甚至停止編寫單元測試。

測試框架是片狀的， 是由 QA 團(tuán)隊(duì)建立和擁有的。當(dāng)某件事情失敗， 整個(gè)軟件工廠停止運(yùn)轉(zhuǎn)時(shí)， QA 團(tuán)隊(duì)中一小部分三到五人的錯(cuò)誤就落在了我們身上， 他們經(jīng)常被指責(zé)為放慢了組織的速度。

工程組織花了很多時(shí)間來研究如何構(gòu)建一個(gè)可以擴(kuò)展的產(chǎn)品，代理商sonarqube靜態(tài)安全掃描工具， 但是沒有足夠的注意力去構(gòu)建一個(gè)支持這種產(chǎn)品開發(fā)的開發(fā)工作流程。

質(zhì)量完全由 QA 團(tuán)隊(duì)擁有。

在我們的， 我們有一個(gè) QA 組織， 它沒有與組織的其他部分進(jìn)行擴(kuò)展。雖然他們擁有自動(dòng)化所有內(nèi)容的技能， 但是他們?nèi)狈?gòu)建可伸縮的測試框架所需的技能。由于這種差距， 他們無法影響組織的其他人認(rèn)為質(zhì)量是所有人擁有的東西， 而不僅僅是 QA 團(tuán)隊(duì)。為了彌合這一差距， 我們不得不重新考慮我們對(duì) QA 整體的態(tài)度。

邁向新的開始

我想完成兩個(gè)目標(biāo): 首先， 重建 Shutterstock 的測試基礎(chǔ)架構(gòu)/框架， 使其更加穩(wěn)定， 其次，sonarqube靜態(tài)安全掃描工具， 改變 Shutterstock 的工程文化， 使之成為一個(gè)質(zhì)量不是由測試工程團(tuán)隊(duì)擁有的， 而是由每個(gè)人來擁有。

我們改變了招聘測試工程師時(shí)所期待的能力。我們希望我們的測試工程師成為強(qiáng)大的開發(fā)人員， 他們知道如何構(gòu)建 object-oriented 的解決方案， 從而幫助他們創(chuàng)建一個(gè)穩(wěn)定且可擴(kuò)展的測試框架。我們也希望他們成為有影響力的人， 他們可以推動(dòng)他們的團(tuán)隊(duì)做正確的事情， 而不采取跳過單元測試這樣的捷徑。一旦我們建立了一個(gè) world-class 測試工程團(tuán)隊(duì)， 我們就開始了解如何快速發(fā)布， 同時(shí)保持一個(gè)的產(chǎn)品。

我們知道我們da的問題是脆弱的測試， 所以我們建立了一個(gè)叫做 '睿智' 的工具來記錄每個(gè)測試的通過/失敗數(shù)據(jù)。我們所有的測試都把數(shù)據(jù)推入睿智， 每次他們作為我們的詹金斯工作流程的一部分運(yùn)行。然后， 我們?cè)谶@個(gè)數(shù)據(jù)庫之上建立了一個(gè)網(wǎng)站， 使數(shù)據(jù)的挖掘變得容易。我們現(xiàn)在能夠監(jiān)控工作的合格率、個(gè)別測試的及格率、常見的失敗消息、的運(yùn)行測試， 等等。有了這些數(shù)據(jù)，代理商sonarqube靜態(tài)安全掃描工具， 我們就可以保持自己和其他人的責(zé)任感。我們的一個(gè)團(tuán)隊(duì)受影響的失敗的測試認(rèn)識(shí)到， 他們通常的傳球率只有20%。(試想一下， 由于這一路障， 軟件工廠經(jīng)常停下來。通過使用遠(yuǎn)見卓識(shí)， 他們能夠快速隔離測試的di合格率， 并在這些測試中看到常見的失敗消息。團(tuán)隊(duì)對(duì)測試腳本進(jìn)行了簡單的修復(fù)，代理商sonarqube靜態(tài)安全掃描工具， 以提高其可靠性。

類別檔案：SONARQUBE - PL / SQL

使用SonarQube進(jìn)行PL / SQL分析 - 評(píng)估質(zhì)量（3/3）

發(fā)表評(píng)論

PLSQL_TechnicalDebtLast在我們的系列文章中分析了使用SonarQube的PL / SQL代碼的質(zhì)量。

評(píng)估應(yīng)用程序的質(zhì)量不只是進(jìn)行代碼分析：任何人都可以做到這一點(diǎn)。質(zhì)量顧問的工作是基于以下問題：什么，為什么，如何，多少。

什么：分析結(jié)果。大小，復(fù)雜性和重復(fù)性，這是我們以前的帖子中看到的。我們檢查總體數(shù)字，還有平均和差異，以及有多個(gè)版本的時(shí)間趨勢(shì)。那么我們來看看主要違反jia做法的行為，主要側(cè)重于阻止和批評(píng)。

為什么這些結(jié)果：調(diào)查分析措施的原因，尋找結(jié)果的起源。

如何補(bǔ)救：提出行動(dòng)計(jì)劃。其實(shí)，提出幾個(gè)建議。我們將在下面看到，我提出了短期，中期和長期的不同計(jì)劃。

花費(fèi)多少：評(píng)估每個(gè)計(jì)劃的成本。繼續(xù)閱讀→

此條目發(fā)布于2014年3月10日由Jean-Pierre FAYOLLE發(fā)行的SonarQube - PL / SQL。