Size: a a a

2021 March 02

O

Onlinehead in ctodailychat
Yaroslav
Давай я черту подведу: код ревью - хорошая практика, но медленная и очень часто это симптом больших проблем (имхо)
Нашел я этот митап, посмотрел (не целиком, но половинку, чтобы понять позицию Фила), и он в обще м-то ничего не говорит про то, какие практики хорошие, какие плохие и вообще. Лейтмотивом всего митапа проходит мысль "прежде чем применять практику, нужно понять, нафига ты это делаешь". Очень здравая мысль. Подтверждения идеи "код ревью как симптом больших проблем", как и ожидалось, не особо нашлось. А вот мысль Фила про то, что "код ревью - одна из частных практик, которая внедряется без понимания нафига оно надо, а подобное внедрение является признаком больших проблем" - это да, это есть такое, тут я с ним совершенно согласен, но "код ревью" тут можно заменить на скрам, SRE (о котором он тоже упоминал) и еще много всего того, что внедряется "потому что так принято" и "у гугла так же". Что в целом не мешает тырить хорошие документы и практики у того же гугла, с пониманием нафига оно надо и перерабатывать под себя.
источник

LI

Liudmila Ivanichkina in ctodailychat
Yaroslav
Есть лазейки и в soc и в pci dss
а как верифицировать, что во время ревью зловредно-настроенный сотрудник не закоммитил хитрый бекдор или возможность эксплуатировать уязвимость? это не всегда можно верифицировать программно, но представляет дыру в управлении рисками. human review частично такой риск закрывает
источник

O

Onlinehead in ctodailychat
Onlinehead
Нашел я этот митап, посмотрел (не целиком, но половинку, чтобы понять позицию Фила), и он в обще м-то ничего не говорит про то, какие практики хорошие, какие плохие и вообще. Лейтмотивом всего митапа проходит мысль "прежде чем применять практику, нужно понять, нафига ты это делаешь". Очень здравая мысль. Подтверждения идеи "код ревью как симптом больших проблем", как и ожидалось, не особо нашлось. А вот мысль Фила про то, что "код ревью - одна из частных практик, которая внедряется без понимания нафига оно надо, а подобное внедрение является признаком больших проблем" - это да, это есть такое, тут я с ним совершенно согласен, но "код ревью" тут можно заменить на скрам, SRE (о котором он тоже упоминал) и еще много всего того, что внедряется "потому что так принято" и "у гугла так же". Что в целом не мешает тырить хорошие документы и практики у того же гугла, с пониманием нафига оно надо и перерабатывать под себя.
Короче ты дал утверждение без контекста и это поменяло его смысл:) Одного предложения-введения про "бездумные практики" хватило бы, чтобы повернуть разговор в другое русло, т.к. с этим я более чем согласен, я таких практик вижу очень много и даже активно с этим борюсь, как и с "внедрениями ради внедрения".
источник

АА

Александр Арбузов... in ctodailychat
Samat Galimov
Блин, чувствую что кучу интересного пропустил :( буду в выходные читать ;)
В фомо есть начало треда
источник

O

Onlinehead in ctodailychat
А в целом в теме я тоже не вижу никаких откровений. Учитывая что я как раз работаю в хайповой области DevOps/SRE в компании, которая трансформирует свой бизнес в сторону "современных облачных решений" из классических железно-софтварных, у меня этого "культа инструментов, практик и подходов" мягко говоря дохрена, и на моем devops/sre уровне, и в целом на уровне компании. И да, это весьма многогранная тема, во многом завязанная на культуру управления, компетенции людей, принимающих решения, структуре управления, принципах работы каждой конкретной компании и на другие подобные факторы.
Но я пожалуй могу с уверенностью сказать, что по причине несовершенства людей в целом управленцы, как и другие в общем-то люди, тянутся к историям успеха, а не к историям провала и очень велико желание сделать "как у успешных", не прикладывая каких-то особых сил для достижения результата.
Сюда же можно добавить специфическое распределение ответственности в больших компаниях (никому не хочется быть дежурной задницей и рисковать премией и бонусами), поэтому в подавляющем большинстве случаев проще взять "подписанную и заверенную" практику с "пруфами успешности" и натянуть ее на глобус, то есть на команду-департамент-компанию, чем подумать головой и сформировать свои практики, отвечающие конкретным потребностям.
Первое в корпоративном мире - это относительно безопасный путь, в случае фейла всегда можно съехать на "Просто разработчики у нас не такие, ой не вышло не получилось, ну ладно, ведь практика хорошая, вот пруфы".
Во втором же случае придется в случае фейла доказывать, что твой "особый путь" был хорошим и все косяки будут сыпаться на тебя, как на автора "особого пути".
источник

O

Onlinehead in ctodailychat
Onlinehead
А в целом в теме я тоже не вижу никаких откровений. Учитывая что я как раз работаю в хайповой области DevOps/SRE в компании, которая трансформирует свой бизнес в сторону "современных облачных решений" из классических железно-софтварных, у меня этого "культа инструментов, практик и подходов" мягко говоря дохрена, и на моем devops/sre уровне, и в целом на уровне компании. И да, это весьма многогранная тема, во многом завязанная на культуру управления, компетенции людей, принимающих решения, структуре управления, принципах работы каждой конкретной компании и на другие подобные факторы.
Но я пожалуй могу с уверенностью сказать, что по причине несовершенства людей в целом управленцы, как и другие в общем-то люди, тянутся к историям успеха, а не к историям провала и очень велико желание сделать "как у успешных", не прикладывая каких-то особых сил для достижения результата.
Сюда же можно добавить специфическое распределение ответственности в больших компаниях (никому не хочется быть дежурной задницей и рисковать премией и бонусами), поэтому в подавляющем большинстве случаев проще взять "подписанную и заверенную" практику с "пруфами успешности" и натянуть ее на глобус, то есть на команду-департамент-компанию, чем подумать головой и сформировать свои практики, отвечающие конкретным потребностям.
Первое в корпоративном мире - это относительно безопасный путь, в случае фейла всегда можно съехать на "Просто разработчики у нас не такие, ой не вышло не получилось, ну ладно, ведь практика хорошая, вот пруфы".
Во втором же случае придется в случае фейла доказывать, что твой "особый путь" был хорошим и все косяки будут сыпаться на тебя, как на автора "особого пути".
И чем больше формализации и "механистичности" в оценках сотрудников, от рядовых программеров до лидов и менеджеров, тем все будет хуже, так как показывать хорошие цифры становится важнее, чем работу работать. Поэтому да, практики внедряются, отчеты клепаются, метрики зеленятся, бонусы платятся, а в реальности ситуация ухудшается. Туда же можно отнести детальные KPIи, где главной метрикой становится не успешность (работоспособность) бизнес-процесса, а "количество закрытых тикетов" или там "code coverage", "синдромы неполноценности" лидов, которые не делают ничего выдающегося (команда просто работает, ярких внедрений нет, в долгосрочной перспективе это нехорошо, потому что "Вася из соседнего отдела трубогибов у себя вот аджайл внедрил, дейлики проводит, циферки предоставляет", а что там по факту в средне- и долгосрочной перспективе всплывет - это уже будет после того, как Вася получит бонус и уйдет на повышение:) ) и еще огромное количество всяких весьма болезненных штук.
источник

IV

Igor V in ctodailychat
смотрите что происходит когда у вас yaml головного мозга:

https://github.com/lowdefy/lowdefy
источник

IV

Igor V in ctodailychat
источник

T

Toвapищ Maйop in ctodailychat
KivApple
Боюсь технические средства тут будут надёжнее
Вот что интересно, с такими фишинговыми вещами вообще не борятся получается. При грамотном сокрытии ip и пользовании подставными телефонами - рыбачь-не-хочу. Никто к тебе не придёт.
источник

IV

Igor V in ctodailychat
Toвapищ Maйop
Вот что интересно, с такими фишинговыми вещами вообще не борятся получается. При грамотном сокрытии ip и пользовании подставными телефонами - рыбачь-не-хочу. Никто к тебе не придёт.
заводят специальные аккаунты «жертв» под которыми сидят работники СБ
источник

T

Toвapищ Maйop in ctodailychat
Igor V
заводят специальные аккаунты «жертв» под которыми сидят работники СБ
А потом заявление на мошенника от физлица?
источник

IV

Igor V in ctodailychat
it depends, но суть в том ловят на живца
источник

SG

Samat Galimov in ctodailychat
Переслано от Fedor Borshev
Есть, 12% для твоего чата, код SAMATCHAT
источник

SG

Samat Galimov in ctodailychat
Max Syabro
@samatg для чата вообще есть скидки? )
Это к этому
источник

SG

Samat Galimov in ctodailychat
(Чат уже давно не Samat)
источник

Y

Yaroslav in ctodailychat
Slava Savitskiy
а как же "не лезьте своими грязными руками в наш код"? или у вас все типа тестами покрыто и вообще не может быть такого, что кто-то написал полную фигню? какой будет триггер для постмерж ревью - баг репорт?
Либо баг репорт, либо ничего. Это командное мероприятие узнать что нового в коде появилось
источник

MS

Max Syabro in ctodailychat
Samat Galimov
Это к этому
спасибо )
источник

Y

Yaroslav in ctodailychat
Liudmila Ivanichkina
а как верифицировать, что во время ревью зловредно-настроенный сотрудник не закоммитил хитрый бекдор или возможность эксплуатировать уязвимость? это не всегда можно верифицировать программно, но представляет дыру в управлении рисками. human review частично такой риск закрывает
Никак
источник

ЖЖ

Жираф Жирафович... in ctodailychat
Yaroslav
Давай я черту подведу: код ревью - хорошая практика, но медленная и очень часто это симптом больших проблем (имхо)
У нас абсолютно все правки на прод проходят через код ревью. Вот прям пока ревью не пройдет - никто не выльет. При этом получается недолго. Вчера по моему запросу правки сделали за 20 минут реального написания кода, ревью ещё минут 25 заняло
источник

ЖЖ

Жираф Жирафович... in ctodailychat
Samat Galimov
(Чат уже давно не Samat)
Как не Самат? А чей?
источник