Paveldėtas kodas ir DI. Gidas, kaip etapais susitvarkyti kodo bazę ir išrankioti kritines klaidas

Dažnai užduodami klausimai

Kiek laiko užtrunka tokio masto auditas?

Priklauso nuo codebase'o dydžio. Mažas vibe-codintas produktas perskaitomas per porą dienų, dvylikos metų monolitas pareikalaus savaičių. Svarbiausia yra eilė, ne tempas - greitas pradžioje reiškia lėtas finiše.

Kodėl pradėt nuo žemėlapio, o ne nuo saugumo?

Be konteksto saugumo skenavimas yra teatras. DI randa generic dalykus, kurie dažnai net nėra problema toj konkrečioj sistemoj. Pirma duodam modeliui mermaid žemėlapį, o tik tada paleidžiam jį ieškot SQL injection, auth bypass'ų ir kitų realių spragų.

Ar šitas procesas tinka ir vibe-coderiams, kurie produktą paleido per mėnesį?

Taip, ir net labiau. Vibe-codintose sistemose DI mėgsta įmest naujausią paketą tik todėl, kad jis naujausias, palieka pagalbines funkcijas niekur nešaukiamas, ir nepaklausė apie .env failus ar hardkodintus API raktus. Visi septyni etapai galioja, kelias tik trumpesnis.

Ar tikrai 100% perimtų sistemų yra kiauros?

Pagal mūsų praktiką pastaraisiais metais - taip, kiekviena turėjo bent vieną kritinę saugumo problemą, kurios savininkas net nežinojo egzistuojant. Modeliai vis stiprėja, internetas pilnas automatizuotų skenerių, o legacy kodas savo vietoje stovi. Klausimas tik kada kažkas tą spragą suras pirmas.