Ka\u017cdy, kto cho\u0107 raz deploymentowa\u0142 aplikacj\u0119 produkcyjn\u0105, zna ten stan \u2013 wszystko dzia\u0142a, testy przechodz\u0105, a Ty my\u015blisz o kolejnym featurze. Tymczasem w repozytorium ro\u015bnie tykaj\u0105ca bomba: martwe zale\u017cno\u015bci. Nieu\u017cywane biblioteki, stare paczki, fragmenty kodu, kt\u00f3re kiedy\u015b mia\u0142y sens, a dzi\u015b tylko wisz\u0105. Brzmi znajomo? W JurskiTech.pl widzimy to regularnie podczas audyt\u00f3w backend\u00f3w naszych klient\u00f3w. Dzi\u015b poka\u017c\u0119 Ci trzy konkretne przypadki, kt\u00f3re kosztowa\u0142y firmy realne pieni\u0105dze \u2013 i jak ich unikn\u0105\u0107.<\/p>\n
Wyobra\u017a sobie aplikacj\u0119 e-commerce z 2018 roku. Do obs\u0142ugi koszyka u\u017cyto biblioteki \u201eshopping-cart-js\u201d, kt\u00f3ra w tamtym czasie by\u0142a standardem. Dzi\u015b nikt ju\u017c jej nie aktualizuje, a Tw\u00f3j kod wo\u0142a j\u0105 do paru miejsc. Problem? Ka\u017cdy npm install ci\u0105gnie ca\u0142e drzewo zale\u017cno\u015bci tej paczki. Przy 50 takich nieu\u017cywanych pakietach, czas budowania ro\u015bnie z 2 do 10 minut. Koszt? Programista czeka, p\u0142acisz za jego czas, a deploye s\u0105 rzadsze. Raz u jednego klienta zliczyli\u015bmy \u2013 30 minut dziennie * 200 dni = 100 godzin rocznie. Przy stawce 100 z\u0142\/h to 10 000 z\u0142 rocznie za powietrze.<\/p>\n
Co robi\u0107?<\/strong> Regularne audyty zale\u017cno\u015bci. Narz\u0119dzia jak To by\u0142a zimna rozmowa z klientem z bran\u017cy medycznej. Ich aplikacja do rezerwacji wizyt u\u017cywa\u0142a biblioteki \u201econnect\u201d z wersji 2.x. Dzia\u0142a\u0142o, nikt nie rusza\u0142. A\u017c do audytu bezpiecze\u0144stwa \u2013 okaza\u0142o si\u0119, \u017ce \u201econnect\u201d 2.x ma znan\u0105 luk\u0119 pozwalaj\u0105c\u0105 na atak XSS. Aktualizacja? Prosta, ale przez lata nikt tego nie zrobi\u0142. Efekt? Firma musia\u0142a przeprowadzi\u0107 awaryjny patch w weekend, a koszt utraty zaufania pacjent\u00f3w \u2013 bezcenny. Martwe zale\u017cno\u015bci to nie tylko ci\u0119\u017car, ale te\u017c otwarte drzwi dla atak\u00f3w.<\/p>\n Co robi\u0107?<\/strong> Skonfiguruj automatyczne skanowanie SCA (Software Composition Analysis). Narz\u0119dzia takie jak Snyk, Dependabot (GitHub) czy OWASP Dependency Check robi\u0105 robot\u0119 za Ciebie. Alerty o przestarza\u0142ych paczkach powinny by\u0107 traktowane jak b\u0142\u0119dy krytyczne.<\/p>\n Backendowy monolit pisany w 2015 roku. Framework Rails 4.2, gem \u201edevise\u201d do autoryzacji, ale rok temu przenie\u015bli logowanie na w\u0142asne rozwi\u0105zanie. Kod z devise zosta\u0142? Tak. I nikt nie wiedzia\u0142, \u017ce konfiguracja devise wci\u0105\u017c jest \u0142adowana, a stare endpointy wisz\u0105 na \u015blepo. Raz na miesi\u0105c aplikacja dziwnie si\u0119 restartowa\u0142a \u2013 nikt nie wiedzia\u0142 dlaczego. Po trzech miesi\u0105cach debugowania okaza\u0142o si\u0119, \u017ce devise stara\u0142 si\u0119 po\u0142\u0105czy\u0107 do nieistniej\u0105cej bazy Redis. Martwy kod potrafi generowa\u0107 realne b\u0142\u0119dy.<\/p>\n Co robi\u0107?<\/strong> Testowanie kodu pod k\u0105tem dead code \u2013 narz\u0119dzia IDE (np. WebStorm) pokazuj\u0105 nieu\u017cywane importy. Wprowad\u017a zasad\u0119: przy ka\u017cdej zmianie usu\u0144 te\u017c niepotrzebne fragmenty. Regularne refaktoryzacje to oszcz\u0119dno\u015b\u0107, nie fanaberia.<\/p>\n Zamiast wielkiego projektu, zr\u00f3b ma\u0142y krok. W najbli\u017cszym sprincie dodaj zadanie: \u201eUsu\u0144 martwe zale\u017cno\u015bci z g\u0142\u00f3wnego repozytorium\u201d. U\u017cyj narz\u0119dzi do analizy. Zobaczysz, ile wisz\u0105cego balastu wywieziesz. W JurskiTech.pl tak zaczynamy audyty backend\u00f3w \u2013 od szybkich wygranych, kt\u00f3re daj\u0105 oddech zespo\u0142owi i poprawiaj\u0105 bezpiecze\u0144stwo.<\/p>\n Martwe zale\u017cno\u015bci to nie tylko kwestia porz\u0105dku w kodzie \u2013 to realne koszty: op\u00f3\u017anienia, luki, niepotrzebne bugi. Traktuj sw\u00f3j kod jak ogr\u00f3d \u2013 regularnie piel\u0119gnuj i usuwaj chwasty. Twoja firma (i Tw\u00f3j zesp\u00f3\u0142) Ci za to podzi\u0119kuj\u0105.<\/p>\n Chcesz sprawdzi\u0107, czy Tw\u00f3j backend nie skrywa tykaj\u0105cej bomby?<\/strong> Skontaktuj si\u0119 z nami \u2013 w JurskiTech.pl pomagamy firmom oczy\u015bci\u0107 kod i odzyska\u0107 kontrol\u0119.<\/p>\n","protected":false},"excerpt":{"rendered":" Koszty ukryte w martwych zale\u017cno\u015bciach: 3 lekcje z backendu Ka\u017cdy, kto cho\u0107 raz deploymentowa\u0142 aplikacj\u0119 produkcyjn\u0105, zna ten stan \u2013 wszystko dzia\u0142a, testy przechodz\u0105, a Ty my\u015blisz o kolejnym featurze. Tymczasem w repozytorium ro\u015bnie tykaj\u0105ca bomba: martwe zale\u017cno\u015bci. Nieu\u017cywane biblioteki, stare paczki, fragmenty kodu, kt\u00f3re kiedy\u015b mia\u0142y sens, a dzi\u015b tylko wisz\u0105. Brzmi znajomo? W<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[556,683,435,539,738],"class_list":["post-2046","post","type-post","status-publish","format-standard","hentry","category-warto-wiedziec","tag-architektura-backend","tag-bezpieczenstwo-ai","tag-dlug-techniczny","tag-optymalizacja-aplikacji","tag-zaleznosci"],"_links":{"self":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2046","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/comments?post=2046"}],"version-history":[{"count":0,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2046\/revisions"}],"wp:attachment":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/media?parent=2046"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/categories?post=2046"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/tags?post=2046"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}npm-check<\/code> czy depcheck<\/code> poka\u017c\u0105, co jest nieu\u017cywane. Wdro\u017cenie procesu: przed dodaniem nowej paczki \u2013 pytanie, czy da si\u0119 bez niej.<\/p>\nLekcja 2: Dziura w zabezpieczeniach<\/h4>\n
Lekcja 3: Syndrom \u201edzia\u0142a, nie ruszaj\u201d<\/h4>\n
Jak zacz\u0105\u0107?<\/h3>\n
Podsumowanie<\/h3>\n