HS∕T 34-2011 代码复查指南(海关).pdf

ICS 35.080 L70/84 HS 中 华 人 民 共 和 国 海 关 行 业 标 准 HS/T 342011 代码复查指南 Code Review Guide 2011 - 08 - 12 发布 2011 - 10 - 01 实施 中华人民共和国海关总署 发 布 HS/T XXXXXXXXX I 目 次 前言 . II 引言 . III 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 入口条件 . 2 5 复查内容 . 2 6 代码级别划分 . 2 7 复查方式 . 2 7.1 规范性复查 . 2 7.2 逻辑性复查 . 3 8 组织形式 . 3 9 复查结果记录和跟踪 . 3 10 复查改进 . 3 附录A（资料性附录） 代码复查检查表示例 . 4 附录B（资料性附录） 代码分级与复查人员对应表示例 . 6 参考文献 . 8 HS/T XXXXXXXXX II 前 言 本标准按照GB/T 1.1-2009给出的规则起草。 本标准由中华人民共和国海关总署科技发展司提出。 本标准由中华人民共和国海关总署政策法规司归口。 本标准起草单位：中华人民共和国海关总署科技发展司、全国海关信息中心（全国海关电子通关中心）。 本标准主要起草人：*、*。 本标准是第一次制定。 HS/T XXXXXXXXX III 引 言 随着应用软件在海关科技中的不断推广和应用， 软件质量问题已经普遍受到关注。 在项目实施中设置编码规范， 同时结合编码规范开展相应的代码复查工作， 以提高软件质量和代码可读性的方式已经得到了广泛的认识和应用。 代码复查作为提高代码可读性、 可维护性以及软件设计实施的正确性的重要环节，是应用软件质量保障的重要科学方法之一。 代码复查的目标是在项目实施过程中尽可能早的发现编码过程中存在的缺陷。 为更好的建立项目实施过程中的代码复查机制，提高海关科技应用项目的开发质量，特制定该标准。HS/T XXXXXXXXX 1 代码复查指南 1 范围 本标准给出了项目实施过程中代码复查所涉及的复查内容、 复查方式、 复查工作改进以及复查组织形式的指南。 本标准适用于海关自建、 合建、 委托外部单位建设的各类软件信息系统或相关模块的代码的复查工作。 注：本标准所指“代码”包括生产代码、测试程序代码、工具代码以及用于调试和维护的其他代码；本标准中所指“项目”在没有特别说明的情况下，其含义均为“海关科技应用项目”。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件， 仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 11457-2006 信息技术 软件工程术语 HS/T 22-2009 海关信息化术语 3 术语和定义 GB/T 11457-2006和HS/T 22-2009确立的以及下列术语和定义适用于本文件。 3.1 代码复查 code review 应用静态分析技术，通过对开发产品的可视的检查，以检测错误、对开发标准的违反和其他问题的完善。 3.2 规范性复查 specification review 基于格式、结构、内容或文档评审源代码的过程。 3.3 逻辑性复查 logic review 基于实现处理逻辑、可优化性评审源代码的过程。 3.4 代码走查 code walk-through 一种对代码开展的静态分析技术或评审过程，设计者或程序员引导开发组的成员通读已书写的代码，其他成员负责提出问题并对有关技术、风格、可能的错误、是否违背开发标准等方面进行评论。 HS/T XXXXXXXXX 2 4 入口条件 待复查代码的项目应准备以下条件，方可开展代码复查工作： a) 具有对应模块的详细设计文档； b) 具有代码实现对应的程序源代码清单； c) 项目适用的代码编写规范； d) 项目适用的代码复查检查表； e) 代码作者对代码完成了代码自查； f) 执行代码复查人员熟悉代码实现逻辑和代码编写规范； g) 待复查代码所对应的复查级别确定。 注：代码复查检查表的示例具体内容可参见附录A。 5 复查内容 代码复查宜对应用程序中的代码编写规范符合性、 代码实现逻辑、 代码清单符合性以及代码实现对详细设计的实现是否存在偏差进行审查，不宜对代码实现功能进行复查。其中所涉及的代码包括以下内容： a) 软件系统或模块对应具体实现的全部程序源代码， 包括新开发代码和修改维护的代码， 代码语言可以是多种语言共同组成； b) 相关数据库中使用的各类 SQL 语句、存储过程、自定义函数、BI、数据表、视图等代码实现内容； c) 一些单独使用的程序脚本源代码，如数据处理的 SQL 语句、可执行 JavaScript 或者 VBScript脚本，WSH 脚本、系统安全检查或安装处理脚本等内容。 6 代码级别划分 海关信息系统的实施可结合系统的项目级别、等级保护级别、运维保障等级、代码安全类别、逻辑复杂度、是否核心代码等方面对代码进行分级处理，并为各级别代码复查设置代码复查关注点和要求。代码级别推荐控制在5级以内，不宜过多。代码复查执行前应确定各级别代码编写的规范符合性要求和逻辑检查符合性要求，代码分级处理可参见附录B。 注：代码级别可定为5级，其中1级最低，5级最高。 7 复查方式 7.1 规范性复查 规范性复查的执行是识别代码中不符合代码编写规范的内容。 针对代码的规范符合性开展代码复查工作，可参照以下步骤执行： 准备：获取项目适用的代码编写规范、待复查程序模块的代码清单和详细设计文档； 确定复查人选：确定执行本次代码复查的具体人员； 代码走查： 代码复查人员按已有的代码编写规范、 和详细设计文档对复查代码清单中的代码内容进行复核检查，检查过程中需注重对代码编写中的格式编排、循环、变量命名、建模表示法等方面的检查，对检查过程中出现的问题记录在代码复查检查表中； HS/T XXXXXXXXX 3 反馈：代码复查人员将代码复查检查表提交代码作者并确认缺陷所在。 注：该方式适用于所有代码，由于复查要求相对较低，对复查人员要求相对较低。 7.2 逻辑性复查 逻辑性检查的执行是尽早发现代码中存在的逻辑缺陷， 以提高代码质量。 逻辑性复查可参照以下步骤执行： 准备：获取项目适用的代码编写规范、待复查程序模块的代码清单和详细设计文档； 确定复查人选：确定执行本次代码复查的具体人员； 讲解：代码作者向代码复查人员讲解待复查代码实现的功能、采用的设计方案以及实现逻辑； 代码走查：代码复查人员对待复查代码实现静态分析，以检查代码实现中存在或隐含的缺陷； 反馈：代码复查人员将检查过程中识别的问题与作者进行沟通并确认缺陷的具体内容。 注1：因该方法对复查人员的技术经验和业务理解能力的要求较高，考虑实施成本，建议对 3 级以上（含 3 级）代码复查采用该方法； 注2：代码分级与复查人员要求对应关系可参见附录 B。 8 组织形式 代码复查工作可根据项目中代码级别的不同，采取不同的组织形式开展，可采用的组织形式如下： a) 功能组：项目组内相关模块编码组自行开展代码复查工作，复查内容可以是任意级别代码； b) 项目组：项目组内有选择性的组织代码复查工作，复查内容主要是项目组内高级别代码； c) 组织级：在组织内建立代码复查专家组，复查内容主要是关键和重点项目中 4 级以上（含 4级）代码。 注：关键和重点项目是指运维保障级别高的项目。 9 复查结果记录和跟踪 代码复查人员应将复查结果记录在代码复查检查表中；代码作者应对代码复查检查表中的复查结果进行确认，并对其中涉及的代码问题制定和执行相应的修改方案；项目组应对代码完善负责；项目组应对复查结果中的问题进行跟踪和修复确认。 10 复查改进 组织需定期收集代码复查结果，归纳并总结各种代码在编写过程中的常见缺陷，尤其是逻辑缺陷。组织将这些常见缺陷的解决办法补充到“代码编写规范”，将复杂的逻辑检查简化为规范检查。 HS/T XXXXXXXXX 4 A A 附 录 A （资料性附录） 代码复查检查表示例 表A.1给出了代码复查检查表示例，标准使用人员可以根据项目实际情况进行调整。 表A.1 代码复查检查表 项目名：项目名： 工程名：工程名： 程序模块名：程序模块名： 负责负责( (编写编写) )人：人： 复查人：复查人： 复查时间：复查时间： 确认完成时间：确认完成时间： 代码级别：代码级别： 复查复查项目项目 符合符合 缺陷所在以及原因缺陷所在以及原因 代代码风格：码风格： 一般规范：一般规范： 命名规范：命名规范： 注释规范：注释规范： 数据库操作：数据库操作： HS/T XXXXXXXXX 5 表A.1 代码复查检查表（续） 复查项目复查项目 符合符合 缺陷所在以及原因缺陷所在以及原因 其它类型：其它类型： 逻辑性复查结逻辑性复查结果 （缺陷描述和果 （缺陷描述和所在位置）所在位置） 附附加说明：加说明： 注1：表中“复查项目”列以当前项目适用的编码规范为依据，实施中可从编码规范中摘选填入； 注2：“代码风格”填写的内容例如“一个文件中有且仅有一个类(class)、枚举(Enum)或接口(interface)的内容定义。”； 注3：“一般规范”填写的内容例如“using的次序要求(1、System；2、第三方组件；3、项目内部组件)。”； 注4：“命名规范”填写的内容例如“变量命名规范需符合Camel命名(Camel命名：标识的首个单词首字母小写，其余的单词均首字母大写)样式”； 注5：“注释规范”填写的内容例如“程序文件头上要求有版本和程序修改的记录”； 注6：“数据库操作”填写的内容例如“SQL语句中的所有关键字大写”； 注7：“其它类型”填写的内容例如“数据库连接对象在用完之后应显式的关闭并释放相应资源”； 注8：“逻辑性复查结果” 中填写在逻辑性代码复查检查过程中识别的缺陷和缺陷所在位置， 也可以在其中填写对该缺陷的修改建议； 注9：“附加说明”中填写待复查代码的相关补充说明内容，填写内容例如待复查代码级别中对应的级别、代码实现的部分处理逻辑介绍。 HS/T XXXXXXXXX 6 B B 附 录 B （资料性附录） 代码分级与复查人员对应表示例 表B.1中给出了代码分级与复查人员对应表示例，标准使用人员可以根据项目实际情况进行调整。 表B.1 代码分级与复查人员对应表 等级等级保护保护级别级别 运维保运维保障级别障级别 核心核心代码代码 参考代码参考代码级别区间级别区间 逻辑复查人员要求逻辑复查人员要求 1 3 级以上 （不含3 级） 否 1 最好是项目组内成员； 熟悉待查代码所涉及业务内容、该项目的程序框架和技术接口定义； 具备一定的代码重构、抽象能力； 较多参与海关信息系统开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程了解； 1 3 级以上 （不含3 级） 是 2 了解海关系统环境、应用部署环境以及敏感技术资源的位置； 具备一定的代码重构、抽象能力； 较多参与海关信息系统开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程了解； 2 3 否 2 了解海关系统环境、应用部署环境以及敏感技术资源的位置； 代码重构、抽象能力较高； 较多参与运维保障级别为 3 级以上的项目开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程熟悉； 2 3 是 23 熟悉海关系统环境、应用部署环境以及敏感技术资源的位置； 代码重构、抽象能力较高； 较多参与运维保障级别为 3 级以上的项目开发工作； 对运维保障体系以及后续运维保障执行的流程熟悉； 3 3 全部 3 熟悉海关系统环境、应用部署环境以及敏感技术资源的位置； 代码重构、抽象能力较高； 较多参与运维保障级别为 3 级以上的项目开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程熟悉； 表B.1 代码分级与复查人员对应表 （续） HS/T XXXXXXXXX 7 等级保护级别 运维保障级别 核心代码 参考代码级别区间 逻辑复查人员要求 全部 1 否 4 熟悉海关系统环境、应用部署环境以及敏感技术资源的位置； 代码重构、抽象能力较高； 较多参与运维保障级别为 1 级的项目开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程精通； 全部 1 是 5 熟悉海关系统环境、应用部署环境以及敏感技术资源的位置； 代码重构、抽象能力高； 较多参与运维保障级别为 1 级的项目开发工作； 对运维保障体系、等级保护以及后续运维保障执行的流程精通； 注1：表中“等级保护级别”源自GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求，其中将信息系统应具备的基本安全保护能力区分为4级，其中1级最低，4级最高。 注2：表中“运维保障级别”源自海关信息系统运维服务保障等级定级方法，其中将海关信息系统运维服务保障等级区分为5级，其中1级要求最高，5级要求最低； 注3：表中“核定代码”是由信息系统依据代码的重用程度、逻辑复杂度、数据吞吐量要求等确定的，设置有“是”和“否”两项； 注4：表中“参考代码级别区间”中的代码级别定为5级，其中1级要求最低，5级要求最高。 HS/T XXXXXXXXX 8 参 考 文 献 1GB/T 11457-2006 信息技术 软件工程术语 2GB/T 5271.8-2001 信息技术 3.Net 安全编码规范（送审稿） _