quality for IT projects

Transkript

1 quality for IT projects

2 quality for IT projects Vortrag Q9 MATHEMA frühjahrs-campus 2008 Quality Inside Teil 2 Hit the Code Jack 19. April 2008 Detlef Burkhardt Andreas Kock

3 Guten Tag, wir sind: Detlef Burkhardt Enterprise Engineer & Architect als freier Berater für GJC & MATHEMA 42+1 Jahre jung, bekennender Bassist, Blogger & Codesemiotiker Gestartet 1986, seit 1998 in zahlreichen IT-Projekten Mache mit bei: JCP (JSR-260 Javadoc-Update), Cuba, Oracle TechNet, MotoCoder, Apple DevCon, Bea Dev2Dev & Arch2Arch Andreas Kock Senior Consultant bei der GJC 36 Jahre alt, elektronische Musik & überzeugter "Foto-Graf" Gestartet 1992 als Softwareentwickler, später Projektleiter Seit 7 Jahren als QM & QS Berater unterwegs Folie 3

4 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 4

5 Gnädinger & Jörder Consulting GJC bietet seit 1991 umfassende Beratungsleistungen in den Bereichen Projektbegleitung und Qualitätssicherung von Optimierungs- und IT-Projekten. Leistungsportfolio: Qualitätsmanagement Qualitätssicherung Prozessmanagement Betriebsmanagement Organisationsberatung Weites Tal 2, Schriesheim a.d. Bergstrasse Enge Kooperation mit der MATHEMA seit 2006

6 Rolle der Abteilung Fachseiten Internet-Abteilung EntwicklungsDienstleister 1 EntwicklungsDienstleister 2 EntwicklungsDienstleister n Betriebs-Dienstleister

7 5 Ebenen der IPP Content Applikationen & Formulare SW-Plattformkomponenten (PA, PIF, XSL, FGen, WCMS, GSA) SW-Basiskomponenten (BEA, Oracle, Day, u.a.) Hardware & OS (Linux Blades)

8 Campaign Server Farm Forms Generator Publish & Edit A2 A2 A2 A1 Business Logic Layer Database Database Database Database Analytics Data Layer NAS Load Drivers Google Search Appliance Publish & Edit Portal Integration Framework Monitoring Content Management System Webmining Portal DEV Cache / Proxy INT Web Presentation Layer REF PROD Internet Portal Platform Shared Config Log Server Introscope SharedServices

9 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 9

10 DevQS bedeutet Partner des Architekten, des Release-Managers, der FachQS und der Entwickler sein... Standards für CodeQuality, Security, Performance setzen... Stärken und Schwächen einer Architektur für potentielle Refactorings auffinden und bewerten... eine gute Nase, um den Code der riecht aufzuspüren... Integration der verschiedener Testvorgehen vorantreiben... Täglicher Kampf gegen Systementropie, um das System agil zu halten In der DevQS sorgst Du für den Quality In <> Quality Out Effekt im Entwicklungsprozess Folie 10

11 QS-Phasen Spezifikation AM / Projekt Realisierung Entwicklungs-QS Fachliche Abnahme Komponenten Abnahme Betriebliche Abnahme RtP-Prozess Quality In Quality Out Betrieb Go-Live

12 Quality In <> Quality Out Quality In: Widerspruchsfreie, vollständige Anforderungen inkl. erster belastbarer Testfälle Abnahme der Anforderung Analyse und Verteilung gefunder Issues aus Ticket-System(en) Problem-, Incident- und Risikomanagement Bewertung der IT- und Umsetzungskonzepte Unterstützung bei Aufwands- und Releaseplanung Folie 12

13 Quality In <> Quality Out Quality Out: Eingelieferten Komponenten des Dienstleisters abnehmen Reifegrad der Code- und Dokumentations-Qualität darstellen Metriken vergleichbar machen zwischen Packages und Systemen über die Release-Zyklen Testabdeckungen aufzeigen Sicherheitsrisiken möglichst früh erkennen & bewerten Folie 13

14 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Code-Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 14

15 Wie wird heute funktional getestet? IT: assertequals(a,b); automatisiert QS: vs. Fokus: Funktioniert meine Methode Step1, Expected Result. Manuell Fokus: Erhalte ich die richtigen Ergebnisse Lösung: Datengetriebener Akzeptanztest Ermittlung belastbarer Daten durch Fachseite / FachQS Automatisierungslösungen durch IT-Seite Hier passt die FIT Idee Testdaten per Office-Tabellen weiter über den Parser von Ward Cunningham zum Glue Code der vermittelt

16 Funktionales Testen á la F.I.T. Framework for Integrated Test treibt Ward Cunningham seit 2002 Lösung für Datengetriebener Akzeptanztest Trennung von Datenermittlung und Testcode Mit Tabellen Fixtures definieren Einfach Fixture bestehen aus den Spalten Command Target Erwartetes Ergebnis Erhaltenes Ergebnis Fitnesse ist ein fix und fertigs Wiki-System für Akzeptanztests Folie 16

17 Die FIT-Idee mit Selenium leben Der Anfang ist ganz einfach Der Ausbau schnell möglich Die Komposition sinnvoll Ant-Integration mit eigenem Task Folie 17

18 Selenium ist mehr als nur IDE Selenium RC (=Remote Control) Schlüssel zur Automatisierung Selenese Task für Ant Aufruf von Suiten Umfangreich Parametrisierbar Selenium unterstützt Out-Of-the-Box: HTML, Java, C#, Ruby, Perl, PHP & Python Grenzen Kein Wechsel zwischen HTTP und HTTPS in einem Testfall Domainwechsel nur in Selenium IDE möglich Highlights auf einen Blick Einfaches aufzeichnen und abspielen Feldauswahl mittels ID's, Namen und XPath Eigene Erweiterungen via user-extensions.js Debuging mit Breakpoints Walk through Tests Autocomplete Folie 18

19 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 19

20 Dimensionen der Code-Analyse Non-Functional Domains Code-Quality Performance Security Analysestrategien (Tools & Services) Dynamische Analyse jmeter/loadrunner und Wily Introscope für Performance-Analyse Emma für Testcoverage Statische Analysen (siehe Punkt 3.1 bis 3.2) Source- & Bytecode von Java Weitere Artefakte wie Ant, XSL, XML, JS, JSP, Groovy wichtig Datenbank-Schemata nicht vergessen Metriken: Mengenbasierte Basis-Metriken Aggregierte Metriken & Anti-Pattern Folie 20

21 Die wichtigsten Basis-Metriken Pyramide der Grundzahlen Setzt absolute Gundzahlen in vergleichbare Relationen ermittelbar mit Hilfe von javancss oder iplasma ANDC AHIT Folie 21

22 Noch mehr Basis-Metriken DupeCounts Bei Bewertung den Kontext beachten Kosten- / Nutzen abwägen ermittelbar z.b. Mit CPD, Teilprojekt von PMD Codecoverage Testabdeckung Ermittelbar mit cobertura oder Emma JavaDoc-Abdeckung mit doccheck Dependecies (Class, Package & JAR) Alarm bei zyklischen Abhängigkeiten Ermittelbar mit jdepend & jaranalyzer Folie 22

23 QBench Anti-Pattern QBench = Anti-Pattern Katalog des Fraunhofer Institut 52 Anti-Pattern aus den Bereichen Architektur, Design und Coding z.b. mit Sissy ermittelbar QBench-Reifegrade QBL1: Rudimentary QBL2: Basic QBL3: Extended QBL4: Advanced QBL5: Complete Zuordnung zu wichtigen ISO 9126 Qualitätseigenschaften: Analysierbarkeit Modifizierbarkeit Stabilität Prüfbarkeit Austauschbarkeit Zeitverhalten Verbrauchsverhalten Folie 23

24 Qbench-Klassifikation Tote Methode aus

25 Qbench-Klassifikation Labyrintmethode aus

26 Qbench-Klassifikation Pränatale Kommunikation aus

27 Web of Design-Disharmonies Prof. Marinescu 11 zentrale Anti-Pattern im Kontext Hohe Kongruenz zw. Marinescu und QBench Ermittelbar mit iplasma / Sissy Folie 27

28 Anti-Pattern des Fortify SCA Über 150 sicherheitsrelevante Anti-Pattern u.a. aus den Bereichen: Cross-Site Scripting & Buffer Overflow Denial of Service & Race Condition Command- & SQL-Injection Log Forging & Session Fixation uvm. Regelmässige Fortify-Rule Updates 100% OWASP Compliant Java Open Review Project Ausgereifte Audit-Workbench Unterstützt alle wichtigen Programmiersprachen Java / JSP, Coldfusion, PHP, C, C++, C# Javascript, VisualBasic, VBScript, ASP PLSQL / TSQL Folie 28

29 Noch mehr Anti-Pattern Findbugs-Repository University of Maryland ca. 320 Muster in 15 Kategorien auch in Fortify integriert PMD Rule Sets vs. Checkstyle PMD mit ca. 260 Muster in 28 Rule-Sets CS mit 127 Rules in 14 Funktionsgruppen Hohe Deckungsgleichheit zw. PMD und CS PMD Rule Sets sind imho besser Out-Of-The-Box nutzbar... zwischen Projekten vergleichbar Folie 29

30 SCA, The Big Picture Das Prinzip gilt z.b. auch für Fortify auch XSL,JS, PL/SQL u.a. auch für andere Tools nutzbar Alternative PersitenzMechanismen, wie XML denkbar Folie 30

31 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 31

32 Starke Werkzeuge für Statische Code-Analyse JavaNCSS CPD / PMD Sissy QBench Fortify SCA ($) DEMO Folie 32

33 JavaNCSS

34 CopyPaste Detector

35 PMD

36 Sissy / QBench

37 Fortify SCA

38 Starke Werkzeuge für Docleting XHTML-Doc vs. JavaDoc DocCheck XSLDoc OraDoclet ServletDoclet DEMO Folie 38

39 DocCheck

40 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 40

41 Bytecode für gute Beziehungen JDepend JarAnalyzer Findbugs DEMO Folie 41

42 JDepend

43 JarAnalyzer

44 Findbugs

45 Mehr sehen, mehr verstehen iplasma statsvn java2html DEMO Folie 45

46 iplasma / Insider / CodeCities

47 statsvn

48 java2html

49 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 49

50 Glean ist Ant Mit Ant Test-Suiten integrieren Glean ein ausgereifter Ansatz Factory System-Properties Lokale System-Properties Allgemeine Tool-Properties Lokale Tool-Properties Durchlauf-Spezifische Properties Dutzende von Tools bereits Vor-Integriert Einfache Integration eigener Tools schnell möglich Folie 50

51 Wie sag ich s wem am Besten? Zusammenfassung aller Reports Mit XSLT nach HTML mit gemeinsamem CSS... einfacher Navigation... zum CQM-Portal Herausforderungen: Entwicklung: Verlinkung zu Quellcode und Background Management: mehrdimensionale Aggregationen Folie 51

52 Wie sag ich s wem am Besten? Herausforderung Aggregierung Folie 52

53 Wie sag ich s am Besten? Herausforderung Time-Based Reporting Folie 53

54 Weiter geht s mit... Cruise-Control Mehr als nur Build-Server Continous Testing & System-Checking via Glean Daily-, Integration-, Release-Build & Testing Reporting & Alarming Deploy-Targets: Development & Integration Reference & Production Fernziel: Maven ab Version 2 Folie 54

55 Inhalt Einleitung 1. Rolle & Prozesse 2. Funktionales Testen mit der IT 3. Statische Code Analyse 3.1 Sourcecode-Only-Tools 3.2 Bytecode & more 4. Last words about Integration Folie 55

56 Books, Links, Feeds & more

57 quality for IT projects Wir danken für Eure Aufmerksamkeit! Noch Fragen? Folie 57