ONLYOFFICE Community Server: как баги способствуют возникновению проблем с безопасностью

[drWhy]

«ONLYOFFICE offers a secure online office suite highly compatible with MS Office formats.»
Действительно забавный подход разработчиков приложения для бизнеса. Любопытно было бы полистать сравнительный анализ с кодом менее открытого антагониста, что-то подсказывает, что чтиво будет достойным конкурентом произведениям Эдгара По.

Хочется отметить качественную работу художника-иллюстратора, сдобренную к тому же тонким юмором. КМК пора на основе подобных иллюстраций делать комиксы для питомцев детских садов для будущих программистов, прививать чувство прекрасного кода.

Спасибо за Вашу просветительскую деятельность.

[SvyatoslavMC]

Спасибо! Источник юмора — код, мой стиль и, конечно, же работы нашего художника Гали nookino.

[nookino]

Спасибо за такую высокую оценку моей работы :)

[vorozcov]

Мы хотели с Вами связаться, но обратной связи не последовало.

Недавно для своих «расследований» пытался контактировать с разными разработчиками — у двоих та же ситуация. Не могу понять, почему у ИТ-компаний такие вялые и неэффективные пиарщики и маркетологи… Из реально звёздных мне попались трое на 15 суммарно выбранных компаний. Они все реально думают «молчи — за умного сойдёшь».

[SvyatoslavMC]

Ну я этим давно занимаюсь. Может видели мой цикл статей «Поиск багов как образ жизни». Я всё же кое-что понял. У многих компаний нет связи отдела разработки с внешним миром. Например, у Сбера и ВКонтакте крутые команды, мне нравится с ними общаться на конференциях. Но общение с поддержкой имеет нулевую эффективность. Они не слышат ни технические доводы, ни пользовательские.

[justmara]

Справедливости ради — много вы видели компаний, у которых есть прямая связь между техподдержкой/pr с разработчиками? Чаще всего всё, что может приключиться с таким запросом, будет выглядеть так:

• тут нам пишут, что бага есть
• ммм… ща гляну… так, ну выглядит фигня какая-то не шибко важная. таску заведи — позже разберёмся.

И что в этот момент должны ответить на такое обращение? "Спасибо, ваше мнение важно для нас"? или разраб потом (через недельку) должен пойти в обратку в поддержку и сказать "сообщи ему, что мы починили"?

[SvyatoslavMC]

То, что Вы перечислили, вовсе не фантастика. А часть этапов вообще автоматизируется и не «кушает» ресурсы компании. Клиентоориентированность всегда будет цениться. Тут всё зависит от того, как компания позиционирует фидбек пользователей: как обузу или источник информации.

[Sanja4]

Надеюсь ONLYOFFICE серьезно отнесется к этому анализу. Тут можно будет и узнать насколько это серьезная фирма. Вот гугл автору безмерно благодарил и денежку подкинул.

[SvyatoslavMC]

Вот гугл автору безмерно благодарил и денежку подкинул.

Тут не хватает частицы бы вторым словом)

[SvyatoslavMC]

Чтобы не вводить в заблуждение читателей сразу скажу, что проверка и общение с разработчиками проектов с открытым кодом не имеет финансовой подопрёки. Мы хотим передать результаты анализа и собрать отзывы о работе нашего инструмента. Как в этом случае, разработчки просто не выходят на связь по своим причинам.

[SvyatoslavMC]

Нам стоило, конечно, объяснить свою позицию по этому поводу сразу.

Именно! Надо было просто выйти на связь. Как мы уже обсудили с vorozcov выше, общение с внешним миром проблема многих IT компаний. Причём тематика вообще не важна. Это фундаментальная проблема.

[vorozcov]

Увы, и сейчас всё печально: пошли типичные отмазки, как по методичке. Особенно поржал с «а мы вас просили твит удалить». Ставлю 1:100, что эта девочка — пиарщик, которой что-то там диктуют разработчики. А где они сами — вопрос, наверное, пользуются другим анализатором кода (более лояльным).

[SvyatoslavMC]

Вы не дали ответ на вопрос, потому отмазка. А Ваши реальные пользователи — достаточно продвинутая технически аудитория, особенно из бесплатного сегмента, т.к. всё приходится настраивать самим.

[VasiliyNN]

Извините, но мне кажется, что Вы раздули «из мухи слона». Да, действительно в нашем коде был такой кусок кода, но это старая ветка и в момент написания Вашего Твита она не использовалась для проверки паролей. Проверка на пароли осуществляется в другом месте. Получается, что Вы в угоду рекламы своей программы, мягко сказать «обкладываете» других разработчиков. Некрасиво и неспортивно!

[SvyatoslavMC]

Думаю, мухи тут не причём. Если они, конечно, не слетелись на код :D

Я хотел сказать, что за 10 лет существования такого формата мы выяснили, что кто-то воспринимает критику кода, а кто-то нет. Это всё зависит от конкретного человека, а не материала или какой-то морали.

[Tesla2018]

Зачем тогда этот код нужен?

[erley]

Странно как-то получается, вам на блюдечке приносят что и где можно починить чтобы оно не стрельнуло какой-то ошибкой позже, а вы просите issue.
Статические анализаторы существуют чтобы устранить проблемы в коде превентивно, повысить его качество и снизить таким образом затраты на поиск и устранение ошибок в будущем.
Думаю что публикация такой информации наоборот даёт возможность сделать продукт лучше, это можно только приветствовать.
Пообщайтесь с ребятами из PVS-Studio, проведите какой-нибудь субботник чтобы код привести в порядок — от этого много пользы будет всем.

[erley]

У меня онлиофис развёрнут из deb-репозитория (всё крутится на отдельной машинке дома, поэтому мне так проще было) рядом с домашним Nextcloud.
Правда пользователей максимум двое, да и то не каждый день.
Всё вроде работает и я очень доволен, тут я воспользуюсь случаем и похвалю авторов. Попробуйте развернуть его без докера, там всего несколько шагов.
Надеюсь что сейчас авторы прогонят свой код ещё и PVS-анализатором, вообще всё здорово будет.

[erley]

Обновление делал пока что всего пару раз (честно говоря пофигу, но иногда Nextcloud заставляет это делать), штатным apt-get, вроде всё сработало хорошо, проблем не припомню.
Но спасибо за предупреждение, буду как следует бэкапиться на всякий случай следующий раз.

[VasiliyNN]

Уважаемый happy — cat. Правильно было бы, если бы Вы описали на github свою проблему, с указанием какая у Вас операционная система, какой сервер, какое дополнительное ПО установлено, ну что -то еще по Вашему усмотрению. Чтобы понять проблему, нам надо ее воспроизвести у себя и после этого что-то поправить в установочных скритах. Поверьте, мы тщательно тестируем все наши инсталляции и не выпускаем продукт с известными нами багами. Но раз уж Вы тут так активно нас обсуждаете здесь, напишите нам на саппорт свои проблемы с пометкой happy — cat с хабра и мы Вам обязательно постараемся помочь.