システム開発 Archive

非常に残念なことなんですけど、まだセキュリティ脆弱性の脅威に対する認識っていうのが甘いようです。

一般的になってしまって麻痺しているっていうのもあるのかもしれませんが。

「うちはセキュリティに対するリテラシーは高いよ。セキュリティテストもしてるし。」なんて言っている現場に入りましたが、空いている時間に開発環境で軽くテストしただけでXSSできました。何をテストしてるのでしょうね？

で、太郎ちゃんの法則により、1つ見つかったということは他にも数箇所あることになるのですが、対応を見ている限り危機感なんてないようです。

やっぱり実際に被害を受けないと考えを改めないのでしょうか。

もちろんサイトに対する攻撃は犯罪なのですが、「脆弱性のあるサイトを公開していて攻撃された」っていうのは、「鍵をかけずに空き巣に入られた」って言っている人並みに残念な気がします。

セキュリティの理解度をペーパーテストで測るのは良いと思いますが、素人に問題作らせない方が良いです。
さらに残念なことになります。

今一度セキュリティを見直してみてはどうでしょうか。

日報（週報、月報）についてひとこと。
（※ ここで言ってる報告っていうのは作業報告みたいなもののことね）

報告を受け取った人は例外なくレスをするべきだと思います。

読んでいるかどうかもわからないから報告する側もテキトーになっていくんじゃないかな。
全員にレスする時間なんてないよ！って場合は粒度を変えるべき。毎日が無理なら週報にして、毎週が無理なら月報にする、と。

一般的に管理できる部下の数は5,6名らしいので、日報でもレスするのに30分かからないと思います。
なので、日報は直属の上司が、月報は部長などの偉い人が配下全員にレスするっていうのが良いのではないでしょうか。

それくらいできないとオマエに管理できんの？(´・｀) ってなりかねないよ。

それよりももっと良い方法あるよ！っていうのがあればぜひに。

テスターです。

こしあんのきめの細かいテスティングスキルが評価されたようです。
いや～、てれるにゃ～（〃▽〃）

ってそんなわけあるかい！！(ﾉ￣□￣)ﾉ ~┻━┻

いやまぁテスト大事ですよね。
というわけで（勝手に） Selenium でやってみる。

captchaが突破できない…orz

captchaのテストじゃないので、一意になるようにして（”AAAAAAA”とか）回避する。うーん。まあそのためにあるのですし、仕方がないか。

あとは報告のためのマトリクスをExcelで書いて、そこからHTMLを作成、流す、と。以前にSelenium使ったときより、開発環境の相性がよかったので楽でした。

1点あれっとなったのは、Selenium IDEでassertコマンドを追加するときに、期待値は「対象」欄に入力しなくてはならないこと。「値」欄に入力してて動かず…。まあ大したハマりではないのですけどね。

先日のCake PHPのカンファレンスでもテストしやすさ大事、みたいなこと言ってましたもの。

CakePHPガイドブック

Tracの運用方法に合わせてカスタマイズを試みました。
と、言っても管理者ではないので、口を出すだけですが。

現在こしあん達は、チケットの対応をしたら、コミットしましたよ～とコメントを入れて担当者にチケットを返却する。という方法を取っています。

そこでコミットのタイミングでチケットも操作してしまおうというわけです。こんなコメントを書くとチケットの担当者が自動で変わる感じ。

Tracにはすでに連携機能がありますのでそこをちょろっといじればできそう。

と、いうわけでやってもらいました。
この辺りのカスタマイズって楽しい（〃▽〃；）

【参考】
Trac と Subversion を連携させる – snbhsmt_log

Trac のデザインなんとかならないかなと思い、調べていたらこんな記事を見つけました。

低徊趣味的IT稼業:trac第二弾

導入事例です。
（※ あくまで こしあん が記事から読み取ったことを元にしているので実際とは違う点もあるであろうことをご了承ください。）

trac の、チケットとリポジトリブラウザの連携機能などの優れた一面があるからこそ、確かにそれを使わない手はないように思えますが、「SEとPGが分かれているようなちゃんとした(言わば古めかしい)会社は、せいぜい困ってください」とせせら笑われているようで、なんとも忌々しいソフトです。

このような評価は非常に残念でなりません…。
特に経営者の方のようですので。

Trac は OSS のツールですから「ウチの作業フローにあわないよー」といった場合は言うまでもなく、導入をあきらめるか、カスタマイズするか、です。

個人的な見解としてはSubversion連携があるので、Tracを使うならSE,PG間のやりとりに使うべきかなと思います。で、Trac は見た目がダサイので顧客に見せるのは別のバグトラッキングを使う、というのはどうでしょう。 Mantisとかが比較的マシかなと。
対顧客と対PGでは管理するものが別なので、2重管理とは言わないのではないでしょうか。連携はExcelもwebもハイパーリンクでどうにでもなりそうですしね。（このへんテキトー）

おっと。そうでした。Trac は見た目がアレだって話をしたかったのです。
イケてるCSS落ちてないかな？