Sonar ist eine freie Code-Analyse Plattform für die statische Analyse der Quellcodequalität um die Softwarequalität zu messen und rückzuverfolgen.

Sonar vereint Werkzeuge wie Findbugs, Checkstyle, und PMD und bringt diese auf eine einheitliche Weboberfläche. Im Gegensatz zu anderen Werkzeugen wie z.B. die Maven Site bietet Sonar die Möglichkeit historische und aggregierte Quellcode Informationen anzuzeigen. Sonar zeigt Informationen über Folgende Bereiche der Softwarequalität an:

• Architekture & Design
• Kommentare
• Quellcode Regeln
• potentielle Fehler
• Quellcodekomplexität
• Unit Tests
• Doppelter Code

Neben der Anzeige der Ergebnisse ermöglicht Sonar das Herunterbrechen der einzelnen Metriken bis auf die eigentliche Quellcode Zeile. Die historische Darstellung der Metriken und die Verknüpfung der einzelnen Metriken ist ebenfalls möglich. Sonar bietet momentan über 30 Plugins unter anderen für die Integration in die Entwicklungsumgebung (z.B. Eclipse) und fürs continuous integration wie z.B. Hudson.

Seit Version 2.2 ist es möglich u.A. Projekte, packages oder Klassen als Favoriten zu markieren, des Weiteren können nun pro Benutzer Filter definiert werden. Weitere Infos zum Release gibt es unter der Offiziellen Seite

Selbstverständlich werden Code-Reviews durch Sonar nicht überflüssig, auch die Anzahl der Unit-Tests, Testabdeckung oder Kommentare alleine sagen nicht aus, ob die Softwarequalität „gut“ ist. Allerdings wenn die Regeln mithilfe der Entwickler definiert werden und Sonar als Hilfe für die Entwickler eingesetzt wird, kann es eine große Hilfe für die Entwickler und Projektmanager sein. Mithilfe von Sonar werden abstrakte Dinge wie Refactoring nun messbar und der Projektfortschritt sichtbar.

Weitere Informationen (Englisch):

Sonar offizielle Webseite
Sonar in Action Softwarequalität von Open Source Projekten
Sonar 2.2 Download:
Installationsanleitung und System Requirements von Sonar:
Sonar Plugin Verzeichniss

Die Sicherheitsexperten des Open Web Application Security Projekt (OWASP) haben gerade die Top 10 der Schwachstellen in Webapplikationen aktualisiert. Die Apache-Foundation ist aktuell sicherlich eins der prominentesten Opfer einer XSS Attacke. Welche Möglichkeiten habe ich als Webentwickler sicherzustellen das meine Anwendung sicher ist? Es gibt eine Reihe von Security Tools die zumindest eine erste Einschätzung über meine Anwendung geben können.

Kommerzielle Tools

HP WebInspect Software

Eine Besonderheit vom HP WebInspect ist es, dass dieser in der Lage ist unter Anderem auch Adobe Flash Anwendungen zu testen.

IBM AppScan Family

IBM hat eine ganze reihe von Security Tools u.A. ist es Möglich Security Tests in Build Prozess zu Integrieren. Es gibt aber auch Versionen für Entwickler und für die QA Abteilung.

Kostenlose bzw. Open Source Tools

Neben den kommerziellen Tools gibt es auch einige kostenlose Tools.

Nessus
Einer der bekanntesten Security Tools Nessus, nicht nur für die Sicherheit von Webapplikaiton sondern auch für Netzwerke etc.

WebScarab
Direkt vom OWAS Projekt wird ebenfalls ein Websecurity Tool bereitgestellt. Wemm die Oberfläche von WebScarab nicht gefällt kann sich evtl. auch mit WebScarab (Next generation) anfreunden.

Websecurify
relativ neu ist Websecurify. Es liegt im Moment in der Version 0.5 vor. Der Fokus dieses Scanners liegt in der einfachen Benutzerfreundlichkeit. Es reicht die URL die gescannt werden soll. Trotzdem hinterlässt es einen guten Eindruck.

Fazit

Natürlich bieten die Tools keinen 100% Schutz. Jede Anwendung hat ihre individuellen Risiken und Stärken. Allerdings bieten diese Tools zumindest eine bessere Entscheidungsgrundlage um die nächsten Schritte zu planen.

Quellen und weitere Informationen

• Web Application Security Consortium
• Open Web Application Security Project (OWASP)
• BSI Sicherheit von Webanwendungen Maßnahmenkatalog und Best Practices (PDF)
• XSS (Cross Site Scripting) Cheat Sheet

Google hat angekündigt das nun auch die Geschwindigkeit einer Webseite Auswirkungen auf ihren Ranging hat. Mozilla ist durch eine schnellere Webseite in der Lage zusätzliche 60.000.000 Firefox Downloads pro Jahr bereitzustellen. Shopzilla hat durch eine 3,5 Sekunden schnellere Webseite 25% mehr PAge Views erzielt. Eine schnellere Webseite hat nicht nur subjektive Vorteile sondern der Erfolg lässt sich messen. Nur wie bekommt man eine Enterprise Web Anwendung signifikant schneller?

Backend Performance

Schauen wir uns zuerst das Backend an. Natürlich hat man auch Anwendungsfälle die einfach “teuer” sind. Hier hilft, neben der richtigen Architektur, Framework und gezielte Codeoptimierung in erster Linie Clustering. Sei es nun mithilfe von Terracotta, JBoss Board Tools, durch einen Load Balancer oder wie auch immer.

Nun kann es aber vorkommen, dass obwohl keine teure Operation durchgeführt wird, die Anwendung nicht den Anforderungen entspricht. Interessanterweise zeigt die Backend Analyse keine besondere Last, zwischen dem Request und dem Response vergeht nur wenige ms und doch fühlt sich die Anwendung „langsam“ an.

Dieser Umstand liegt vielleicht daran, dass je nach Anwendung über 80% der Ladezeit im Frontend und nicht im Backend entsteht.

Frontend Performance

Es stellt sich die Frage warum die Ladezeit im Frontend so lang ist

Dateien werden nacheinander geladen

Eine Seite besteht aus sehr vielen Elementen (CSS Dateien, Grafiken, Javascript Dateien etc.) allerdings erlaubt ein Browser in der Regel maximal vier parallele Verbindungen pro Host. Das bedeutet das die Dateien nacheinander geladen werden müssen.

Für kleinere Dateien ist der Request Overhead der Bottleneck

Die meisten Benutzer haben eine asymetrische Internetverbindung. Das Verhältnis zwischen upload-to-download bewegt sich meistens zwischen 1:4 bis 1:20. Das bedeutet ein 500 byte großer HTTP Header request dauert genauso lange wie eine 10kb große Layoutgrafik herunterzuladen.

Wie kann man die Ladezeit im Frontend verringern?

HTTP Requests verringern

Der größte Performance gewinnt man wenn man es schaft die HTTP Requests zu verringern.
Hierfür kann man z.B. CSS Dateien kombinieren oder man kann dafür sorgen das geringere Javascript Dateien ausgeliefert werden.

CSS Sprites

Eine weitere Möglichkeit stellt CSS Sprites dar. Bei dieser Technik werden aus vielen kleinen Grafiken eine größere Layoutgrafik erzeugt. Durch verschieben dieser Grafik wird immer die richtige (kleinere) Grafik angezeigt. Mittlerweile gibt es auch schon Java Tools die solche Grafiken erzeugen. z.B. SmartSprites

Verringerung der Seitengröße

Insbesondere wenn man mit größeren Tabellen arbeitet sollte man einmal kritisch hinterfragen ob zu diesem Zeitpunkt alle Daten benötigt werden. Meistens kann man mit Table Filter, Pagination oder Continuous Scrolling sowohl das Frontend als auch das Backend erleichtern.

Neben den selbstverständlichen Sachen wie:

• Dateien nach Möglichkeit komprimiert übertragen
• Doppelte Einträge (z.B: JavaScript Dateien) vermeiden
• Minify JavaScript und CSS
• richtige Bildergröße übertragen d.H. Kein Scaling über HTML
• richtigen Expires oder Cache-Control Header setzen
• Stylesheet on Top, JavaScripts at the Bottom
• Bildgröße verkleinern z.B. durch smushit.com

sollte eine Anwendung zwischen Statischen und nichtstatischen Inhalten aufgeteilt werden

Dateien richtig auslagern

Insbesondere wenn man mehre Anwendungen hat lohnt es sich die statischen Elemente zentral Vorzuhalten. Unternehmensweite Logos, JavaScript Bibliotheken, CSS Dateien und Grafiken sollten sich an einer bestimmten Stelle befinden und nicht innerhalb jeder Anwendung vorgehalten werden. Dies hat mehrere Vorteile:

• Dateien können parallel heruntergeladen werden
• Session Header Overhead entfällt und somit einsparung beim User Upload
• Caching wird verbessert da statischer Inhalt nicht mehr an Session gebunden
• CDN wird ermöglichst

Fazit

Insgesamt lässt sich mit den Mitteln eine Anwendung wesentlich beschleunigen, probiert es aus falls eure Anwendung nicht schnell genug ist.

Weitere Quellen

• Google Web Performance Best Practices
• Yahoo Best Practices for Speeding Up Your Web Site
• High Performance Web Sites: The Importance of Front-End Performance
• Präsentation zum Thema Frontend Performance
• Website Speed Messung

Es gibt für Eclipse bereits viele vorgefertigte Versionen. Für den Java EE Entwickler ist sicherlich die Eclipse IDE für JEE am interessantesten. Allerdings gibt es auch für den Modell getriebenen Ansatz schon vorgefertigte Lösungen. Zum einen Eclipse Modeling Tools zum Anderen von itemis direkt. Diese vorgefertigten Distributionen bieten eine gute Basis, allerdings lassen sie sich mit einen paar weiteren Plugins noch erweitern.  Anschließend kann man auf yoxos seine individuelle Eclipse Version zusammenstellen..

EclEmma http://www.eclemma.org/

Mithilfe von EclEmma lassen sich Code-Coverage-Analysen durchführen. Damit lässt sich ermitteln, wie hoch die Testabdeckung mit JUnit ist. Auch kann man damit nachvollziehen, welche kritischen Quellcode-Bereiche noch nicht von einem Unit-Test abgedeckt wurden und somit ungetestet sind. Hierbei ist zu beachten das EclEmma ausschließlich Unit-Test Abdeckung darstellt, Komponenten Test werden nicht erkannt.

Checkstyle http://eclipse-cs.sourceforge.net/

Prüft Codeformatierungen und Codestruktur

PMD pmd Homepage

Ein weiteres Plugin um die Code Qualität zu verbessern. Mithilfe von PMD lassen sich folgende Problemstellungen identifizieren:

• Possible bugs – empty try/catch/finally/switch statements
• Dead code – unused local variables, parameters and private methods
• Suboptimal code – wasteful String/StringBuffer usage
• Overcomplicated expressions – unnecessary if statements, for loops that could be while loops
• Duplicate code – copied/pasted code means copied/pasted bugs

Findbugs http://findbugs.cs.umd.edu/eclipse

statische Code Analyse

Maven http://m2eclipse.sonatype.org/update/

Falls man Maven benutzt, sollte man auch dieses Plugin benutzen. Das Maven Plugin ermöglicht folgende Tasks innerhalb der Eclipse Umgebung:

• Launching Maven builds from within Eclipse
• Dependency management for Eclipse build path based on Maven’s pom.xml
• Resolving Maven dependencies from the Eclipse workspace without installing to local Maven repository
• Automatic downloading of the required dependencies from the remote Maven repositories
• Wizards for creating new Maven projects, pom.xml or to enable Maven support on plain Java project
• Quick search for dependencies in Maven remote repositories
• Quick fixes in the Java editor for looking up required dependencies/jars by the class or package name

Ich bin immer wieder überrascht wie schnell Problemstellungen mit Xtext und Xpand gelöst werden können. Es geht in diesem Beispiel um eine Excel bzw. CSV Datei die in die Datenbank importiert werden soll.  Ok Datenbanken unterstützen das Import von CSV Dateien, ein Java Programm ist mit opencsv auch schnell geschrieben, aber manchmal braucht man auch die SQL Statements und so habe ich mir gedacht warum nicht mal mit Xtext versuchen?

Erstellen wir eine “CSV DSL” mit Xtext

Als erstes muss Xtext eine CSV Liste verstehen können. Da die DSL einer CSV nicht so komplex ist ist dies sehr schnell gemacht:

CSV DSL for Xtext

“Modell” Transformation mit Xpand

jetzt haben müssen wir unser “CSV Modell” noch mit Xpand verarbeiten.

Insgesamt ist der Aufwand eine CSV zu parsen mit Xtext und Xpand wirklich gering.

„Videolectures.Net“ eine Webseite die kostenlose Aufzeichnungen von Konferenzen, Summer Schools und Workshops bereitstellt, hat den World Summit Award 09 für die Welt beste e-Content Webseite gewonnen.
Wer kennt das Dilemma nicht, da gibt es auf einer Konferenz einen bestimmten Vortrag und man hat keine Zeit oder Budget.
Dieses Jahr fand die World Wide Web 2009 Conference in Madrid mit einer Keynote von Tim Bernes-Lee zum Thema statt. Leider konnte ich diese Keynote nicht besuchen, daher habe ich mir die (Slides) besorgt und mir auf Videlectures.Net die Aufzeichnung angeschaut.

Die Leute von Jozef Stefan Institute rund um Mitja Jermol haben mit Videolectures.net eine großartige Lösung geschaffen und wurden daher auch mit dem World Summit Award ausgezeichnet.

Congratulation Mitja and have a nice time in Monterrey!

Anlässlich des Eclipse Galileo Release fand heute in Bern ein Eclipse Demo Camp statt. Organisiert wurde diese Veranstaltung von Puzzle.ch. Insgesamt war es eine sehr interessante Veranstaltung und es war interessant zu erfahren wie weit das Thema MDD auch in der Schweiz vertreten ist.

Insgesamt gab es mehrer interessante Vorträge. Besonders interessant fand ich den Senseo Vortrag wo es um Metriken zur Laufzeit von Java Programmen ging. Also  letztendlich um Informationen wie welche Klassen, Methoden etc. werden zur Laufzeit am Häufigsten aufgerufen. Ein weiteres Highlight war der Vortrag von Eike Stepper wo es um u.A. das CDO Projekt ging mit dessen Hilfe man EMF Modelle verteilen bearbeiten und insgesamt besser skalieren kann.

Alles in allem war es eine sehr interessante Veranstaltung, die von Puzzle gut organisiert war.  Ein paar Eindrücke des Eclipse Demo Camp findet ihr hier.