Як чытаць справаздачу аб аўдыце VPN: абсяг важнейшы за значок

Значкі танна паказваць і дорага тлумачыць. Апублікаваная справаздача аб аўдыце — абмежаваны кавалак інжынернай працы: названы ацэншчык даследаваў названыя кампаненты, на названай версіі, з заяўленым метадам і бюджэтам часу. Гэтыя чатыры факты вызначаюць, што можа падмацаваць выснова, і звычайна яны на першых некалькіх старонках, а не ў маркетынгавым рэзюмэ. Іх чытанне займае дзесяць хвілін і прадухіляе пашыраную памылку — пашырэнне высновы пра кліенцкую праграму на ўвесь сэрвіс.

Што насамрэч абмяжоўвае раздзел аб абсягу

Заява аб абсягу — гэта плот, і ўсё за ім застаецца без адказу, а не пройдзеным. Справаздачы пералічваюць правераныя кампаненты, дыяпазон камітаў або ідэнтыфікатар зборкі, выкарыстанае асяроддзе і дазволеную мадэль узаемадзеяння. Настольны кліент, мабільная праграма, серверны код, бэкенд уліковага запісу і прадукцыйная інфраструктура — пяць розных прадметаў, і праект можа ахопліваць любую іх частку.

Выключэнні важныя не менш за ўключэнні, бо іх указваюць наўмысна, а чытаюць няўважліва. Сістэма ўліковых запісаў, апісаная як па-за абсягам, не мае на ўвазе бяспекі, а мабільная праграма, пакінутая па-за праектам, проста не даследавана. Пазначайце кожны неправераны кампанент у сваіх нататках як невядомы і супраціўляйцеся спакусе запоўніць прабел рэпутацыяй.

Два віды тэстаў адказваюць на розныя пытанні

Агляд зыходнага коду і тэставанне ў час выканання шукаюць розныя збоі. Рэцэнзент, чытаючы код, можа прасачыць вывядзенне ключа, заўважыць адсутную праверку даўжыні і разважаць пра ўвесь парсер, не выконваючы яго. Тэсціроўшчык на працуючым сэрвісе выяўляе, што разгорнутая зборка робіць насамрэч: сертыфікат, які праграма адхіляе, рэзервовы пратакол, які ўсё яшчэ ўключаны, канчатковы пункт, што выдае банер версіі праз канфігурацыю, якую ніхто не аглядаў.

Ні адзін не замяняе другі, і справаздача звычайна называе, які выкананы. Калі рэзюмэ кажа «праверана аўдытам» без гэтага размежавання, неадназначнасць у рэзюмэ, а не ў справаздачы.

Абмежаванні доступу робяць тое ж. Праект «чорная скрыня» не бачыць канфігурацыі сервера, а агляд архітэктуры, які ніколі не кранае разгорнуты канчатковы пункт, не можа заўважыць, што прадукцыя адрозніваецца ад схемы. Абодва законныя; змешванне іх вынікаў — не.

Як выснова становіцца выпраўленай версіяй

Каштоўная палова справаздачы — табліца ўхілення: кожная выснова, яе сур'ёзнасць паводле метаду ацэншчыка, адказ аператара і вынік пераправеркі. Лічбы сур'ёзнасці паходзяць з абранай метадалогіі, а не з прыроды, таму параўноўвайце сур'ёзнасць унутры адной справаздачы, а не паміж дзвюма з рознымі шкаламі.

Затым звяжыце выпраўленне з выпушчаным праграмным забеспячэннем. Выпраўленая выснова важная карыстальніку толькі тады, калі ўсталявана версія, што нясе выпраўленне, і менавіта таму ідэнтыфікатар зборкі справаздачы і журнал змен выпуску трэба чытаць разам. Пераправерка, якая ахапіла выпраўленне, замыкае цыкл; неправеранае выпраўленне — гэта заява. Таксама і выпраўленне, выпушчанае толькі ў галіне, якую ніводны стабільны выпуск не зліў.

Што значок не можа вам сказаць

Адсутнасць высноў не ёсць доказам адсутнасці дэфектаў. Кароткі праект з фіксаваным бюджэтам нешта прапусціць, і сумленнае чытанне чыстай справаздачы такое: ацэншчык не знайшоў класаў праблем, якія шукаў, за даступны час.

Значок таксама не можа гаварыць за ўласцівасці па-за сваім абсягам. Заявы пра практыку лагавання, юрысдыкцыю або захаванне жывуць у палітычным дакуменце, а не ў аўдыце кліенцкай праграмы, і ніякая рэпутацыя ацэншчыка не пераносіцца праз гэтую мяжу.

Запіс доказаў, якія вы можаце абараніць

Пішыце спасылку ў трох частках: кампанент, версія і пацверджанае выпраўленне. Апублікаваны праект, такі як аўдыт VPN, замоўлены Mozilla падмацоўвае менавіта тыя сцвярджэнні, якія апісвае яго абсяг, і нічога шырэйшага, што ўсё ж каштуе нямала, калі спасылка дакладная. Тая ж справаздача, цытаваная пра тое, чаго яна ніколі не даследавала, каштуе менш за адсутнасць спасылкі, бо запрашае давер, якога ніхто не заслужыў.

Калі заяўленая ўласцівасць выходзіць за межы ўсіх даступных справаздач, пакіньце яе нявырашанай у дакуменце. Нявырашаны радок запрашае ўдакладняльнае пытанне; значок — не. Адзінае выключэнне — уласцівасць, якую вырашае іншы, гэтак жа дакладны дакумент, і тады змяняецца спасылка, а не заява.

Яшчэ дзве звычкі робяць чытанне трывалым: адзначце дату справаздачы адносна выпуску, які вы насамрэч выкарыстоўваеце, і захоўвайце розніцу паміж тым, што тэставалася, і тым, што вы разгарнулі. Абодва ператвараюць рашэнне пра давер у нешта, што калега можа праверыць.