Soweit zu: „Erstellen und vergessen“ (Schadcode-in-weit-verbreiteter-JavaScript-Bibliothek-UAParser-js)

[Raketenwilli]

Machst Du 4 Wochen Urlaub und 2 Tage nach Abreise kommt ein Zero-Day Exploit für eine deiner Libs hoch, kannst Du angeschmiert sein.

Urlaub? Da war ich schon 6 Wochen weg … („Wat mutt, mutt!“)

Für eine Einpersonenfirma ist das kaum zu stemmen.

SSH/SFTP reicht mir. Ohne Zugriff keine Pflege.

Vermutlich mache ich es wie bisher: „Verkauft wie geliefert.“ Ich verwende ja ohnehin bevorzugt „Vanilla“ - also keinen Drittanbieterkram. Ausnahmen (wie das unten besprochene, im Fehlerfall nur nicht funktionierende tinyMCE) bestätigen die Regel.

Bei uns im Unternehmen ist der Prozess für eine FLOSS-Integration komplex und setzt immer eine Code-Inspektion voraus.

Hm. Das wird wirtschaftlich heikel, wenn ich aberzehntausende Codezeilen Dritter lesen und vor allem auch verstehen muss. Noch ein Grund auf „Vanilla“ zu setzen. Soll da irgendeine Libary genutzt werden werde ich die dem Kunde genau so aufs Auge drücken wie das von ihm installierte OS, seinen Webserver, sein PHP, seine Datenbank.

Tests und Updates, die für neue Versionen fällig werden, sind dann eben ein spottbilliges Hand-On. Bei mir dauert sowas auch nur Minuten, denn ich kann mit find, grep, sed & Co recht ordentlich umgehen.

Ich kann ja auch Aufträge ablehnen und dem Kunde sagen: Nee... da brauchst Du was größeres als einen Einzelkämpfer. Ich mach wegen einem Auftrag keine Aktiengesellschaft auf.