Обзор написанного кода

[MikeR]

Коллеги, на мой взгляд интересная статья по code review. Говоря новым полит корректным языком, - как это делается у наших партнеров / конкурентов.

Сегодня на 2014 год, российские компании, внедрившие продукты компании SAP потратили большое количество ресурсов на клиентскую доработку решений. Однако не привносят ли эти разработки дополнительные риски в ваши бизнес-процессы? Компания SAP гарантирует качество кода в своих приложениях благодаря ручному аудиту поставляемого кода и использованию самых современных механизмов статического и динамического анализа своих продуктов на различные уязвимости. Автор этих строк провел исследование в университете г. Саарбрюккен (Германия) целью которого являлся анализ кодов продуктов SAP (решения по электронной коммерции) самыми современными инструментами статического анализа и убедился в высоком качестве этого кода. Программный код компании SAP проходит ручной и автоматизированный анализ, тысячи специальных тест-кейсов. Клиентский программный код зачастую не может быть так полно проанализирован, особенно, в условиях сжатых сроков проектов, в которых приходится работать. Стоит задуматься о качестве клиентского кода в ваших системах. Важно понимать, что проверка авторизации пользователя (синоним безопасности SAP для многих предприятий) не поможет предотвратить использование такого рода ошибок, т.к. пользователь, использующий ошибки в коде, выходит за рамки полномочий, определенных системным администратором.

[driller]

Что на ваш взгляд интересного, содержится в статье?

[belugin]

Для AX есть некий автоматизированный анализ кода в Lifecycle Services

Сам не пробовал

[MikeR]

Честно говоря слабо представляю, как можно автоматизировать проверку или анализ допустим процесса обмена данными между системами. В этом случае только наметанный взгляд поможет.

[belugin]

Цитата:

Сообщение от MikeR

Честно говоря слабо представляю, как можно автоматизировать проверку или анализ допустим процесса обмена данными между системами. В этом случае только наметанный взгляд поможет.

Это зависит от того, какое формальное описание этого процесса есть

[DSPIC]

Цитата:

Сообщение от belugin

Для AX есть некий автоматизированный анализ кода в Lifecycle Services

Сам не пробовал

Я пробовал, могу немного рассказать.

1. Тул предлагает загрузить модель для анализа
2. В течение нескольких часов производится закачка\компилирование модели и запускается анализ.
3. Неожиданно, для казалось бы полностью вычищенной модели, получаем кучу ошибок\замечаний.
4. При анализе видим, что найденных 90% замечаний неоднозначные.

Например:

• Если анализатор "видит" CRUD операции с таблицами и не встречает выше по коду "ttsbegin" в текущем методе, вываливает это как ошибку\замечание, при этом не учитывая, что метод целиком уже может выполняться в рамках транзакции. Отсюда получаем ругань чуть ли не на каждый метод где есть CRUD.
• Если вы что-то воткнули в стандартный код, то все грехи стандартного кода будут расценены как ваша кастомизация со всеми вытекающими.
• В исполняемом на сервере коде нельзя пользоваться такими функциями как info\error\setprefix. (ну клиентскими Box:: само собой).
• Анализатор требует переноса ВСЕХ CRUD операций на таблицы\классы, причем обязательно в серверном исполнении. Т.е. select на форме либо клиентском классе уже не напишешь, даже если это будет временная таблица.
• Для CRUD операций требуется обязательно предшествующие validateWrite\Delete, даже если таблица временная, использующаяся как некий буфер.
• Требует кэширования всех дисплей методов, даже если метод закэширован (баг), даже если метод написан на датасорсе.

Есть и много полезных замечаний.

Технически, тул реализован незамысловато. Где-то в облаке крутится аксапта, куда загружается ваша модель (отсюда обязательность совпадения версий вашей модели с версией тула и длительное время на компиляцию). В аксапте написан некий BestPractice extention, который выполняет проверку. По результирующему отчету даже видно, что он выгружается их таблицы SysCompilationOutput.

В общем тул пока сыроват, но в целом полезен, если не воспринимать все замечания в лоб.

Ну а вообще, можно было включить этот BestPractice extention в рамки стандартной системы и не заниматься глупостями в виде отдельных web приблуд.

[belugin]

Я, кстати, пробовал что-то подобное сделать, если кому интересно http://1drv.ms/1u9Rs8x

Детектит ошибки типа

switch (x)
{
   case y:...
   case y:...
}

[wojzeh]

что такое DEV_Toolbar?

[oip]

wojzeh, http://axcoder.blogspot.ru/2012/02/d...or-ax2012.html

[wojzeh]

хотелось бы, конечно, краткого описания

[belugin]

Features

Toolbuttons

• From left to right:
• Tile horisontal (places 2 last activated windoz side by side)
• Show type hierarchy
• Show cross references
• Show list of classes, where selected method in aot was overriden
• Copy AOT path of selected node to clipboard (hold shift to copy name of the node only)
• Table browser
• Open application object (for example, if you have opened method it opens class or form of that method)
• Find in AOT

Task bar

• colored tabs
• middle click closes tab
• has context menu (right click on tab to see)
• supports drag & drop of tabs

Input box

• type full path of AOT node and press enter to open the node
• type name of the node to open node ot menu of node with the same name
• type ?<expression> to evaluate X++ expression value (for example ?tableID2Name(13))
• type !<statement> to run X++ statement (for example !ExchRates::flushClient())
• type <class>.<method> to open method of a class, for example infolog.add

Autorun

• to run DEV_Toolbar on start of ax client add line "-startupcmd=Autorun_c:\work\jobs\dev_toolbar.xml" (without quotes and changing path to where you extracted archive) to:
• shortcut of Ax32.exe
• or to client configuration parameters
• or to AxLauncher configuration

Extensibility
to add a button create AOT resorce with name like DEV_Toolbar_<menuItemType>_<menuItemName> and contents 16x16 png image of button. See DEV_Toolbar_Display_SysAotFind resource as an example