День добрый,коллеги.С некоторым опозданием,но всё-таки присоединяюсь к теме бэка. На этой неделе предлагаю обсудить ароматы #Java

В моей биографии были и C/C++,и Pascal c Delphi,драйвера на tasm,Clipper и CA Visual Objects,PHP c Perl и JS. Но более всего зацепила #Java

.@freiksenet_ru однако, замечу, что мы каких-то особенностей свойственных именно 8ке не используем. Не было в том надобности

.@dcromster @de_gis вот история "про Clipper" 4 года назад de-gis.livejournal.com/120917.html

Между делом. Всем бэкэндщикам порекомендую вот эту свежую статью habrahabr.ru/company/yandex…

.@backendsecret @freiksenet_ru Если что-то лучше решается функциональщиной,то и надо её использовать.

.@backendsecret @freiksenet_ru + роль играет-какие у тебя есть вокруг разрабы.Если никто про кложур не в теме,а есть перловики,то ура перлу!

.@freiksenet_ru да даже не сильные. А используем,что есть.Ни один бизнес не даст денег тупо на обучение.Бизнесу результат нужен,а не процесс

Т.к.мне самому приходилось часто заниматься отбором будущих коллег,вопрос к публике: как часто вопросы собеса стыковались с будущей работой?

@backendsecret что вы считаете со своей т.з. важным узнать при беседе с кандидатом?Какие вопросы/темы для вас являются маркером пригодности?

.@ivanenok ой-вей, а сколько разрабов считают это краткое переложение RFC "открытием". "Читайте маны - они рулез"(с)

.@freiksenet_ru вот и вопрос - за чем пытать в разраба на тему "построение суффиксного дерева",если он будет "плагины" по уст.схеме клепать?

@backendsecret Да, это хороший подход, смотреть на сильные стороны команды.

@backendsecret @freiksenet_ru перлу ура! ура! ура!

@backendsecret очень редко.

@backendsecret 60%. Остальное оценивали как человека.

@backendsecret что-нибудь базовое.Пример кода-читабелен,правильно ли сделано что-то,что потребуется.Хотя я вот тушуюсь на собеседованиях :(

@backendsecret Почти никогда. Обычно собеседование проверяет какие-то алгоритмические знания, за 8 лет может 2 раза понадобилось такое.

@backendsecret Все насмотрелись на гугл, которым надо хоть как-то отсеять кандидатов. Хотя даже гугл уже понял что это не работает.

@backendsecret @freiksenet_ru я думаю для бекэнд-разработчика супер-важно понимать как работают индексы, например.

@backendsecret @freiksenet_ru Многие теряются в объяснении reference type а это то, с чем все сталкиваются постоянно.

@__fro @backendsecret Люди могут путатся в терминах, но понимать как это работает. Сложно не понимать pass-by-reference в Java.

@__fro @backendsecret Скорее надо понимать как *использовать* индексы. Какая разница какой именно структурой он реализован?

@backendsecret @freiksenet_ru перед разработчиком всегда встает проблема выбора имплементации

@backendsecret @freiksenet_ru так как его выбор будет влиять на всю дальнейшую разработку.

.@__fro @freiksenet_ru есть разные масштабы производства.В серьёзном проекте решение принимает CTO или техлид.

.@__fro @freiksenet_ru и логично,что отбор таких штучных спецов д.б. несколько иным,чем линейных разрабов.

@backendsecret @freiksenet_ru Разработчику нужно хотя бы понимать этот факт, про важность принимаемых решений с самого начала.

@backendsecret @freiksenet_ru бывает, что разработчки очень заигрываются, много тратят времени на принятие несущественных решений

@backendsecret @freiksenet_ru это и есть следтсвие неопытности

@backendsecret @freiksenet_ru то есть опытность - умение различать важное от второстепенного

.@__fro @freiksenet_ru и тут мы переходи к теме управления коллективами :)

@backendsecret @freiksenet_ru вот это сильно не люблю, поэтому так не хочется работать в “большой компании” с иерархией

.@__fro @freiksenet_ru понимаю,но на данный исторический момент софтостроение уже индустрия,а не кустарное производство.

@backendsecret почти всегда. понимание базовых концептов и определения границ знаний обычно хватает. интервью это снятие профиля, имхо.

.@ivanenok хоть кому-то повезло с собесами :)

@backendsecret @freiksenet_ru мне кажется каждый, кто работает в коллективе должен внутренне принять все решения, которые были приняты.

@backendsecret @freiksenet_ru Единственный вариант достичь этого - консенсус.

@backendsecret @freiksenet_ru Да, это долго и сложно и команду нужно долго подбирать, но оно того стоит, конечно )

.@__fro @freiksenet_ru ед.вариант-дисциплина.За любое действо есть ответственный,в т.ч. и за какой-то проект.Потому кто отвечает,тот и босс

Вообще маме есть рассказать по те времена, когда компьютеры занимали всю комнату.

.@__fro @freiksenet_ru опс! а при чём тут парадигмы и принципы производства?Индустрия-пр-во коллективом.Кустарщина-условно одиночки

@backendsecret зато им потом приходится пахать :) предпочтение всегда отдавал не тем кто знает узко, а тем кто мыслит широко и учится любит.

@backendsecret @__fro @freiksenet_ru тот и должен понимать что отвечает за это полностью и перед верхами и перед командой

.@ivanenok @__fro @freiksenet_ru именно!потому куда босс рукой махнул,туда и стали копать,ибо за косяк босс ответит перед своим боссом

@backendsecret @freiksenet_ru Кстати, заметил, что чем умнее коллектив, тем проще находится консенсус.

Хех, там @de_gis добрался до @backendsecret и суть всякую вещает, оч рекомендую особливо юным падаванам.

@backendsecret если честно, сам собеседовался всего несколько раз. Обычно знали кого они берут и потом формальностей не было :)

.@ivanenok у меня самое крутое и короткое собеседование было: я на пляже,мне по мобилке задали 2 вопроса,на 1 ответил "не знаю".Прошёл.

.@ivanenok потом оказалось,что у нас в стране на 1й вопрос независимых спецов вообще нет.Пришлось тогда и освоить эту тему :)

@backendsecret во, вспомнил смешное. Собеседовал меня однажды на энторпрайзный прокт архитектор с бэкграундом алгоритмиста....

@backendsecret @freiksenet_ru я к тому, что все находится в движении. За базис снова берем фундаментальные науки: физика, математика.

@freiksenet_ru @backendsecret @__fro да вот это проблема, потомучто у тебя в голове иы называешь что-то "та (cont) tl.gd/n_1sncefh

@backendsecret @freiksenet_ru lookatme.ru/mag/live/opini…

@backendsecret @freiksenet_ru если всем ставить рамочки, никаких инноваций не дождешься )

@backendsecret оказалось что он не знает джавы ибо плюсовик, да и вообще слабо понимает что такое Hibernate и Spring. Бывают странности.

А есть что-нибудь аналогичное @backendsecret, только для сисадминов?

@backendsecret @ivanenok @freiksenet_ru а если вдруг найдется инженер, который нашел косяк в решении до имплементация? Забанить его? ))

.@__fro @ivanenok @freiksenet_ru по всякому бывает.Иногда есть смысл таким инициативным руки и повыкручивать.

.@__fro @ivanenok @freiksenet_ru число разрабов в команде фикс,а число проблем нет.Потому "босс" должен выбирать постоянно что надо делать

@freiksenet_ru @backendsecret фундаментальные вещи лучше знать.Это как строить дом из неизвестного материала с неизвестными свойствами

.@__fro @freiksenet_ru

Возьмите меня так на работу, а? :) Я даже ссылку на линкедин могу скинуть! :D twitter.com/backendsecret/…

@backendsecret @ivanenok @freiksenet_ru воот, так и делают из людей винтики. В конечном счете всем становится пофиг на результат, кроме CEO

.@__fro @ivanenok @freiksenet_ru ну в индустрии люди и именуются, как Human Resources.С акцентом на "Resources". :) bibliotekar.ru/encSlov/13/177…

а без доки?

тоже могу. Но в 2 раза дороже! twitter.com/backendsecret/…

@backendsecret @freiksenet_ru а потом приходит дикая подробная дока с отсутствием главного - сути ). Не доверяют ~суть~ разработчикам )

@backendsecret @freiksenet_ru потому что ~суть~ тоже заказали )). Но получилось как всегда..

@backendsecret @__fro @ivanenok If you call me a resource, I'll call you an overhead.

@__fro @backendsecret @freiksenet_ru как ни печально, но два параметра из "быстро-дешево-качественно" выбирают те кто отвечает за проект :)

.@ivanenok @__fro @freiksenet_ru выбирает условно "бизнес". Ибо IT-это всего лишь "обслуга" реального "бизнеса".

@backendsecret @ivanenok @__fro @freiksenet_ru обслуга? реальный бизнес? мб партнёры больше подойдёт?

.@iamstarkov @ivanenok @__fro @freiksenet_ru таксист,официант,сантехник... не являются партнёрами-обслуга для решения конкретных проблем

@iamstarkov @backendsecret @__fro @freiksenet_ru в условиях российского ведения бизнеса, это именно обслуга, с буржуями партнерство скорее.

.@ivanenok @iamstarkov @__fro @freiksenet_ru а тут не важна страна. В любой стране IT вторичен по отношению к какому-либо способу бизнеса.

@iamstarkov @backendsecret @__fro @freiksenet_ru это мой личный опыт из работы и с теми и с другими. отношения с заказчиками весьма разные.

.@ivanenok @iamstarkov @__fro @freiksenet_ru Заказчик(!) ОБСЛУЖИВАНИЯ!

В фразе "IT-есть обслуга" не надо искать отрицательных уничижительных нот. "Service", если хотите :) Но смысл от этого не меняется

Потому и существует ITSM - ru.wikipedia.org/wiki/ITSM

@remm_roman Есть "куратор" (как я на @backendsecret) и есть "ведущие", как сейчас @de_gis. Если есть желание быть куратором - поможем

@backendsecret @ivanenok @iamstarkov @freiksenet_ru ога, скажите это про США ).

.@__fro @ivanenok @iamstarkov @freiksenet_ru скажу.Финансы,промышленность,С/Х,развлечения ЗАКАЗЫВЮТ сервис у IT-сектора.

.@__fro @ivanenok @iamstarkov @freiksenet_ru как только наворачиваются "локомотивы",так IT-шники вместе с уборщицами выставляются за дверь

@backendsecret @ivanenok @iamstarkov @freiksenet_ru Наша эпоха на то и информационная, что именно информация становится базисом, а не сырье

.@__fro @ivanenok @iamstarkov @freiksenet_ru увы, не получается. Человеку в первую очередь надо пить/есть/одеваться/жить,а не читать

@backendsecret @ivanenok @iamstarkov @freiksenet_ru взять те же 3D принтеры, плавить можно уже из любого материала

.@__fro @ivanenok @iamstarkov @freiksenet_ru ну пока не любого. Но если нет потребителя наплавленного, то и 3Дпринтер и софт его не нать

@backendsecret @ivanenok @iamstarkov @freiksenet_ru вот изобретут композитный и все. Останется только рисовать модельки )

@iamstarkov @backendsecret @ivanenok @__fro @freiksenet_ru название книги "как пасти котов" про программистов вообще вариант расизма

@dcromster @iamstarkov @backendsecret @ivanenok @freiksenet_ru да уж ), сразу возникает навязчивое желание взяться за вилы xD

@backendsecret сразу вспоминаю времена лет 10 назад, когда считали, что IT денег не приносит. @__fro @ivanenok @iamstarkov @freiksenet_ru

@backendsecret @ivanenok @iamstarkov @freiksenet_ru обычно успешные сервисы создают it-шники, понимающие в какой-то из этих областей )

@backendsecret @ivanenok @iamstarkov @freiksenet_ru то есть когда в одной голове смыкаются 2 области

.@__fro @ivanenok @iamstarkov @freiksenet_ru CIO вообще страшные люди - они единственные в компаниях знают всё.

.@__fro @ivanenok @iamstarkov @freiksenet_ru и знаю довольно много случаев, когда именно CIO становились успешными CEO

@backendsecret @ivanenok @iamstarkov @freiksenet_ru ну у каждого своя парадигма мышления )

@backendsecret ну так в этом случае заказчик всецело доверяется художнику и именно он принимает все решения.

@backendsecret Заказчик лишь принимает результат. Или нет )

.@__fro но мы ведь обсуждаем форму отношений и что первично? Первичен заказ от бизнеса и ИТ его исполняет.

.@__fro Если исполнитель не будет плясать под дуду заказчика, то имеет или убыток на продукт (не приняли), или не имеет доход - не заказали

@backendsecret @__fro @ivanenok @iamstarkov @freiksenet_ru а кто заказывает сервис у гугла и фейсбука?

.@koluch_ru @__fro @ivanenok GoogleApps заказывает именно реальный бизнес. А поисковик - рекламный бизнес гугла. FB - рекламный отдел FB

В тему самоценности IT. Почему любые инвесторы стартапщикам задают вопрос - "как вы себе представляете модель монетизации сервиса?"

@backendsecret типичный ответ - "мы наберём массу клиентов и будем продавать рекламу". Т.е. вашими заказчиками станут рекламные агентства.

@backendsecret ну и в добавок эта модель монетизации через рекламу уже практически не работает.

@backendsecret Спрос будет с результата в конечном счете. Вкладывать силы в бездну невыгодно всем.

@backendsecret исполнителю не выгодно, потому что в какой-то момент ему нужно будет дописывать CV.

@backendsecret А CV со ссылками на неработающие сервисы дурно пахнут

@backendsecret ну и получается, что разработка своего продукта - услуга, и торговля тоже услуга. я и говорю - словесная эквилибристика

@backendsecret как будто roem читаю, причем тут бэкенд непонятно

.@kurmanov ну как беседа пошла. Уже никто и не вспомнит - с чего началось :)

@backendsecret @kurmanov вот вам про backend. многие ли на волне хайпа про microservices начли активно их впиливать в проекты и как успехи?

.@ivanenok @kurmanov мы у себя отработали 2 варианта поставки "композит"(микросервисы) и "монолит"(типовые слои абстракций в 1 war/ear)

.@ivanenok @kurmanov "бизнес" отказался использовать "композит", т.к. для его работы требовалось значительно больше железа

@ivanenok @backendsecret наша команда использовала микросервисы еще когда это не было мейнстримом :D

@kurmanov @backendsecret ну концепту самому лет 20 уже, очень не удивлён :)

.@ivanenok @kurmanov хотя сам процесс разработки,сборки/деплоя приятнее. Но парадигма требует больше внимания к деталям. И не silverbullt

@backendsecret @kurmanov это да, задачи уходят несоклько в другую плоскость. того самого девопса, а это "продать" весьма сложно, имхо

.@ivanenok @kurmanov ну я думаю,что DevOps(в оригинальном значении этого термина) тут не при чём.

.@ivanenok @kurmanov приятнее в том ключе,что ковырять, а потом деплоить на прод 1 узкозаточенный сервис проще, чем всю КИС целиком

кстати, @ivanenok затронул тему - а как коллеги вы понимаете термин DevOps?

@backendsecret @kurmanov это понятно, но для этого нужно выстроить инфраструктуру у заказчика, а они ччастенько упираются

.@ivanenok @kurmanov угу, потому что в итоге трата дополнительных денег, а будет ли дополнительный доход на эти траты - не факт

@backendsecret @ivanenok программирование администрирования? - немного шуточно если :)

@dcromster @oioki @backendsecret @iamstarkov еще странно, что нет аккаунта про devops, но я думаю появится.

@dcromster @unix_tips @oioki @backendsecret список русско-язычных аккауунтов тут github.com/iamstarkov/awe…

@backendsecret @ivanenok админы и девелоперы в одной команде, а не в разных.

@backendsecret @ivanenok DevOps по-русски - фигачить на продакшене ;)

@green343 @backendsecret для этого специальная методология есть, девопсы это вроде немного другое :) pic.twitter.com/RtbrnIzqqY

@ivanenok @backendsecret если серьезно, DevOps - не должность, а подход "разрабатывать с эксплуататором"; в общем, лишний термин

.@green343 бинго! очень близко. Чую, что надо сделать отдельный пост где-нибудь на эту тему, ибо часто термин "упоминается всуе" @ivanenok

Как и пообещал сегодня - небольшой пост о том, что есть DevOps
de-gis.livejournal.com/152777.html

Предлагаю тему на сегодня "информационная безопасность в разработке".Как показывает мой опыт:разрабы практически не обращают на это внимание

@backendsecret отправной точкой для любого разраба должны быть материалы организации OWASP owasp.org/index.php/Main…

@backendsecret с некоторой периодичностью эта организация публикует наиболее типичные проблемы в безопасности инфосистем

@backendsecret на сегодня 10ка наиболее популярных проблем/ошибок/недочётов выглядит примерно так:

1. Возможность инъекций стороннего кода (например SQL или PHP). Для Java с появлением движков исполнения JS - опасность в виде JS-инъекций

2. Логические ошибки и недочёты в механизмах аутентификации,авторизации и управления сессиями.

3. XSS. Новичкам детали можно почитать habrahabr.ru/post/66057/ и ru.wikipedia.org/wiki/%D0%9C%D0…

4. Неконтролируемый прямой доступ к объектам системы (отсутствие проверок прав доступа)

5. Межсайтовая подделка запроса (CSRF или XSRF) - детали почитайте securitylab.ru/analytics/2924… и ru.wikipedia.org/wiki/%D0%9C%D0…

6. Ошибки в конфигах систем. Дефолтные настройки практически всегда небезопасны. Сообщения об ошибках могут быть чересчур информативными.

7. Отсутствие какой-либо защиты транспортного уровня в общении компонент системы (самое простейшее и типичное - не используется HTTPS)

8.Вероятность утечки критических данных.В системе не определено какие данные "критичные".Нет процедур шифрации и/или аномизации таких данных

9.Отсутствие контроля доступа к функционалу приложения на бэкэнде.(На клиенте в UI контроль есть,а API бэка пропускает любой вызов)

10.Использование компонент или протоколов с известными уязвимостями.(Напр.для SSO использовать протокол OpenID)

Это был "хитпарад" массовых проблем с ИБ .Казалось бы многое давно известно и тривиально.А вот ковырни почти любой код бэкэнда и ой-вей!

из наблюдаемых мною типичных ошибок Java-программеров - неверие, что "если NullPointer может свалиться - он обязательно свалится"

@backendsecret если всё учитывать сначала, то писатся будет долго. Если потом, то можно забыть. Какой подход правильнее?

.@dcromster все проблемы из хитпарада перекрываются сразу на этапе создания условно "ядра платформы".Я за то,чтобы перекрывать сразу.

В помощь разработчикам однозначно порекомендую использовать такую штуку "статический анализатор кода" - назойливая дрянь, но полезная.

Стат.анализаторы есть почти под любые языки.Для Java порекомендую анализатор FindBugs

FB для Эклипса findbugs.sourceforge.net/downloads.html
FB для IDEA plugins.jetbrains.com/plugin/3847?pr…
FB для Jenkins wiki.jenkins-ci.org/display/JENKIN…

Использование стат.анализаторов очень часто приводит к "просветлению" разраба в своём языке. Ибо анализатор показывает нетривиальные моменты

@backendsecret srsly? В 15-ом году? О_о

.@kurmanov люди на то и люди - слабы, невнимательны, не имеют достаточных навыков. Массовые молодые программеры поголовно наступают на это

.@kurmanov справедливости ради замечу, что OWASP очередной хитпарад опубликует скорее всего в след.году. Но думаю,что без особых изменений

.@kurmanov кстати,у вас в MS мой товарищ @abeshkov вроде как делает внутренние семинары по SDL.Он возможно вам больше расскажет.

А вот загадка бэк-разрабу - какое значение стоит установить для кэша при создании sequence в базе данных?

@backendsecret надеюсь многие после такого вопроса полезут в доки своих баз и узнают для себя кое-что новое :)

@backendsecret SonarQube наше всё

.@korobeynikovmax не,как мультитул - без вариантов,наверное.Но,как именно стат.анализ,я не вижу смысла юзать плагин от FB,если есть сам FB

@backendsecret больше правил как минимум.Позволяет проверять код локально по общим рулам.Таки при наличии оного не вижу смысла в FB отдельно

@backendsecret я рассуждаю с точки зрения команды. Правила общие, видно кто пишет хреновый код и не любит тесты. Красиво/наглядно/молодёжно)

@jsunderhood @backendsecret Я из тех, кто вылавливает моменты и просто читает. «А Виталька слушает эфир, да работает» ©

Так, коллеги, как-то прошедшая неделя оказалась смазанной. Mea culpa, mea maxima culpa!

ВОпросом про кэширование последовательностей в SQL-базах я хотел затронуть тему - "Разработчик и SQL" против "Разработчик и ORM"

Лично я считаю, что на текущий исторический момент, владение SQL - входит "minimum minimorum" любого бэкэндера.

Для Java-бэкэндеров: поступило распоряжение сверху - завязывать с Log4J v.1.* blogs.apache.org/foundation/ent… Всем застрявшим перейти на v.2.*

И в завершении своего дежурства, на мою любимую тему инфобезопасности - вариант защиты от CSRF в Spring habrahabr.ru/post/264641/

За сим я прощаюсь и скоро выйдет новый дежурный по бэкэнду :) Будет у кого желание позадавать вопросов: @de_gis или facebook.com/igor.galtsev