写点什么

代码静态检查为什么需要对告警去做运营?

  • 2023-11-14
    广东
  • 本文字数:1552 字

    阅读完需:约 5 分钟

代码静态检查为什么需要对告警去做运营?

本文分享自华为云社区《代码静态检查为什么需要对告警去做运营?》,作者:gentle_zhou 。


代码检查 SAST 技术支持指对代码的风格,质量和安全进行静态的检查,以发现代码中的缺陷和漏洞,提高代码的可读性,可靠性和可维护性。而其中代码检查扫描出来的告警则是指 SAST 检查工具发现的代码问题,通常告警会给出相应的告警级别、类型、描述、原因、正反例和修复建议。


至于为什么要对告警去做运营呢?因为告警并不是一个可以简单去做比较的指标,其多少并不能全面、直接的反映出代码质量的好坏。告警的多少取决于多种因素,比如使用了不同的检查工具,选用了不一样的规则和标准,都会导致不同类型、不同数量的告警结果;当然除了扫描期间的因素,扫描前代码规模、复杂度、业务逻辑等因素也会影响到告警的产生。除了告警数量之外,我们还需要关注告警的严重程度、影响范围、处理程度、人工屏蔽、误报率等指标。

什么是告警运营?


代码检查的告警运营是指对代码检查的告警结果进行分析、处理和汇报的过程。告警运营的目的就是从当前已经产生了的告警去做统计,解决已经扫描发现的问题,保障项目、业务的正常健康的运行;同时,这些告警数据也可以从多维度支撑运营分析,作为后续改善的依据,防止再出现类似的缺陷和漏洞。

告警运营里,用户一般关注什么?


在告警运营里,用户一般会关注以下几个方面:


  • 告警的数量和类型,以此来了解项目中代码整体的质量和风险状况。

  • 告警在项目中的分布、严重程度和责任人归属,以此来确定缺陷告警由谁来负责,优先级的高低。

  • 告警产生的原因,以此来找出问题的根源,支持团队内评估出解决方案。

  • 告警造成的影响,以此来评估缺陷对项目业务的影响范围和程度。

  • 告警的处理进度、用户反馈,以此来跟踪告警是否被处理,并支持定期分析用户的意见和建议。

关注告警运营的用户一般是包括哪几类?


一般关注告警运营的用户包括如下几种类型:


  • 代码开发者,程序员一般需要对自己编写的代码进行检查和修复,对于告警的数量、类型、严重程度、责任人归属、原因是会天然的去关注的。

  • 代码审核者,一般是 commiter 角色,需要对团队编写的代码进行审核,需要确保团队输出代码的规范性和一致性,对于告警数量、类型、严重程度、责任人归属、原因、影响、处理进度都需要密切关注。

  • 项目管理者,一般是整个团队,产业线甚至整个公司层面的管理者,他们需要对不同层级大大小小的项目的整体状况进行监控和管理,对于告警数量、分布、造成的影响、处理的进度、用户反馈会重点关注。

关注这些指标对于用户来说都有什么好处?


关注好告警各类指标信息,可以帮助用户及时发现和修复代码缺陷问题,了解和优化项目代码的性能和效率,学习和改进代码的规范和技巧,建立和完善项目的监控和管理体系;让项目代码质量、安全、可读性、可维护性、可控性、可信度、功能可用性和稳定性得到有质量的提高和管控。

用户怎么分别去获取到各自关注的数据呢?


关注告警运营的用户会根据自身角色和职责的不同,关注维度的不同,选择合适的告警分析和监控工具。


对于代码开发者和审核者,因为他们直面项目开发,对代码质量负有最直接的责任,更快、更详细的获取到第一手代码告警信息是关注的核心。因此一个有详尽告警信息,缺陷告警报告的代码检查服务,对于项目开发者团队来说就非常有必要。


对于项目管理者,因为关注更高层面项目整体的健康度,对于细节反而不是那么在意,高 level、更清晰呈现出项目各告警运营指标是关注的重点。代码检查服务本身更加关注于任务维度告警信息的细节,项目、产品线层级、公司层级的告警运营,就很需要一个专门的告警运营看板来承载。


让我们来看一看华为云 CodeArts Check 代码检查本身自带的告警运营信息都有哪些?


告警运营概览:



导出任务告警详尽信息:




代码问题页签(支持生成缺陷报告):



代码度量页签:



点击关注,第一时间了解华为云新鲜技术~

发布于: 刚刚阅读数: 5
用户头像

提供全面深入的云计算技术干货 2020-07-14 加入

生于云,长于云,让开发者成为决定性力量

评论

发布
暂无评论
代码静态检查为什么需要对告警去做运营?_开发_华为云开发者联盟_InfoQ写作社区