搜索

代码质量管理的一些思路

JAVA乐园

共 1645字，需浏览 4分钟

 · 2021-03-16

现在程序员的能力参差不齐，有科班出身的；也有半路出家的。如何提高代码的质量，对系统的鲁棒性（稳定性）非常重要。


0x01：编写规范的代码

在编写代码时，给包名、类名、类属性等做一定的规范。可以达到见名知意的效果。具体可以参考《阿里巴巴Java开发手册》

链接: https://pan.baidu.com/s/1ANvBu1hidnvRCZILDGXuQA 
密码: ugq8

一些常见的模式

  • 项目jar命名：系统 - 模块。例如，cms-user

  • package命名：按照模块、controller、service、dao模式命名。例如，控制器层com.user.controller，服务层com.user.service，持久层com.user.dao。

  • 工具类包：com.common.utils

  • 类名：控制器类UserController，服务类UserService，持久类UserDao

  • 生成器功能的类可以命名成XXXGenterator

  • 加载器功能的类可以命名成XXXLoader

具体其他的规则参考《阿里巴巴Java开发手册》，就非常规范了。


0x02：静态扫描

根据约定的规范编写出来的代码，虽然达到了统一规范，但是并不能规范代码编写的风格。例如，没有按规范使用日志框架打印日志，而使用了System.out；没有按规范关闭输入流 / 输出流。这种代码质量的问题，则需要使用一些静态代码扫描工具，进行扫描，然后再进行修复。例如，使用 sonar 静态代码扫描，sonar 由2部分组成，分别是 SonarQube 平台，SonarScanner扫描器。

SonarQube: WEB 界面管理平台

  • 展示所有的项目代码的质量数据

  • 配置质量规则、管理项目、配置通知、配置SCM等

SonarScanner: 代码扫描工具

  • 专门用来扫描和分析项目代码。支持20+语言

  • 代码扫描和分析完成之后，会将扫描结果存储到数据库当中，在sonarQube平台可以看到扫描数据。

SonarQube 和 SonarScanner 之间的关系


以上只是接受了一种静态代码扫描的方案，有钱的大公司也会购买 Fortify，这种大型的商业软件进行代码扫描。


0x03：动态扫描 （安全扫描）

       静态扫描就是不运行程序，通过扫描源代码的方式检查漏洞；动态扫描则是在运行程序下，通过接口渗透的方式检查漏洞。在这种方案下，可以检查到 SQL 注入、XSS 脚本攻击、越权、目录列表等漏洞。这块常见的解决方案是 IBM 公司的AppScan 安全扫描工具（IBM Security App Scan Standard）。

     AppScan 是 IBM 的一款 web 安全扫描工具，可以利用爬虫技术进行网站安全渗透测试，根据网站入口自动对网页链接进行安全扫描，扫描之后会提供扫描报告和修复建议等。AppScan 有自己的用例库，版本越新用例库越全（用例库越全面，对漏洞的检测较全面，被测试系统的安全性则越高）

工作原理：

  • 通过探索了解整个 web 页面结果

  • 通过分析，使用扫描规则库对修改的 HTTP Request 进行攻击尝试

  • 分析 Response 来验证是否存在安全漏洞

链接：https://pan.baidu.com/s/19TAHl8lYGmE0O753ULyzYA 
密码：yvle

如果想尝试使用 AppScan 可以参考以上博客

https://blog.csdn.net/u010013191/article/details/80733170

喜欢，在看



浏览 57
点赞
评论
收藏
分享

手机扫一扫分享

举报
评论
图片
表情
推荐
金融研究 | 使用Python测量关键审计事项的「信息含量」
Tips: 公众号推送后内容只能更改一次，且只能改20字符。如果内容出问题，或者想更新内容， 只能重复推送。为了更好的阅读体验，建议阅读本文博客版， 链接地址https://textdata.cn/blog/2023-01-13-information-content-of-critical-aud
大邓和他的Python
0
我看阿里的年终奖总算发了！
到4月底了，这两天看朋友圈，发现阿里的年终奖终于发了，问了问老同学，也从网上检索了不少信息，基本搞清楚了阿里今年的年终奖情况。近来来阿里一些集团对绩效等级做了较大的调整，以前的旧绩效系统中，绩效分为3.25、3.5、3.75、4和5五个等级，其中4和5是较高绩效等级，较少见。而且之前3.5绩效内部划
公子龙
0
金融研究(更新) | 使用Python构建关键审计事项的「信息含量」
Tips: 公众号推送后内容只能更改一次，且只能改20字符。如果内容出问题，或者想更新内容， 只能重复推送。为了更好的阅读体验，建议阅读本文博客版， 链接地址https://textdata.cn/blog/2023-01-13-information-content-of-critical-aud
大邓和他的Python
0
盘点Lombok的几个骚操作，你绝对没用过！
👉 欢迎加入小哈的星球 ，你将获得: 专属的项目实战 / Java 学习路线 / 一对一提问 / 学习打卡 /  赠书福利全栈前后端分离博客项目 2.0 版本完结啦， 演示链接：http://116.62.199.48/ ，新项目正在酝酿中
小哈学Java
0
堪称最优秀的Docker可视化管理工具——Portainer你真的会用吗？
来源：blog.csdn.net/shark_chili3007/article/details/123366179👉 欢迎加入小哈的星球 ，你将获得: 专属的项目实战 / Java 学习路线 / 一对一提问 / 学习打卡 /  赠书福利全栈前后端分离博客项目
小哈学Java
0
Apache Paimon毕业，湖仓架构的未来发展趋势！
北京时间 2024 年 4 月 16日，开源软件基金会 Apache Software Foundation（以下简称 ASF）正式宣布 Apache Paimon 毕业成为 Apache 顶级项目(TLP, Top Level Project)。经过社区的共同努力和持续创新，Apache Paim
程序源代码
0
JS的这些新特性，你都用过么？
大厂技术  高级前端  Node进阶点击上方 程序员成长指北，关注公众号回复1，加入高级Node交流群作为一门不断演进的语言，JavaScript每年都会引入新特性。这些特性的加入，能够帮助我们编写更加简洁、高效、易于维护的代码。然而，并非所有新特性
程序员成长指北
1
【深度学习】人人都能看懂的LSTM
熟悉深度学习的朋友知道，LSTM是一种RNN模型，可以方便地处理时间序列数据，在NLP等领域有广泛应用。在看了台大李宏毅教授的深度学习视频后，特别是介绍的第一部分RNN以及LSTM，整个人醍醐灌顶。本文就是对视频的记录加上了一些个人的思考。0. 从RNN说起循环神经网络（Recurrent Neur
机器学习初学者
0
老爸嘲讽我了，写破代码一年就挣十几万，他在工地带50个工人，一个月光人头费就3万，让我滚回去跟他干！
点击上方 "大数据肌肉猿"关注, 星标一起成长点击下方链接，进入高质量学习交流群今日更新| 1052个转型案例分享-大数据交流群来自：网络，侵删有个网友的父亲是做工程的，天天就嘲笑他，说他天天写着破代码有啥用，一年就拿个十多万的死工资，然后告诉他自己在工地里面带了50个工人，一个月能抽三万
程序源代码
0
我发现 Lombok的几个骚操作，哈哈好用
大家好，我是小富～前言本文不讨论对错，只讲骚操作。有的方法看看就好，知道可以这么用，但是否应用到实际开发中，那就仁者见仁，智者见智了。一万个读者就会有一万个哈姆雷特，希望这篇文章能够给您带来一些思考。耐心看完，你一定会有所收获。@onX例如 onConstructor, oMet
程序员内点事
0
点赞
评论
收藏
分享

手机扫一扫分享

举报