研发效能双周报 2 月vol.1 | 全球约有 560 万开发者使用 K8s；亚马逊发布 CodeGuru Reviewer 更新

1. CNCF 年报称过去一年 K8s 采用度大幅增长

https://www.cncf.io/reports/cncf-annual-survey-2021/

CNCF 基金会近日公布云原生开发现状年度报告。这份报告调查了全球超过 3000 家企业或组织，其中规模超过 5000 人的大型企业超过 20%。
过去一年，K8s 采用度大幅增长。全球约有 560 万开发人员使用 K8s，这一数据相比 2020 年增长67%；K8s 开发者数量约为 390 万，占全球后端开发者群体的 31%。

受访的企业及组织中，96% 表示他们正在应用或正在评估 K8s 技术。其中，来自 5000 人以上规模的大型组织应用 K8s 的比例要显著高于小型组织，这也是由于大型企业的应用架构更加复杂，因此对可见性和管理便利性的要求也更高。

有趣的是，报告显示随着 K8s 的普及，K8s 乃至容器技术在企业内的“可见度”反而降低了。CNCF CTO Chris Aniszczyk 表示，K8s 已经从小众成长为主流，并不了解底层容器技术的开发者也能够基于 K8s 开发应用。好比 Linux 在各类设备、应用中广泛存在，人们在没有知识储备甚至没有感知的情况下，也能够享受技术的便利。

此外，CNCF 也调查了 Serverless 的采用状况，39% 受访开发者表示正在应用无伺服器技术，其中75% 使用托管平台 Serverless 服务，这一数字相比 2020 年增加24%。AWS Lambda 是最热门选择，占比74%；Azure Functions居次，占比39%。

2. AWS 更新代码检查服务 CodeGuru Reviewer

https://aws.amazon.com/cn/blogs/aws/new-for-amazon-codeguru-reviewer-detector-library-and-security-detectors-for-log-injection-flaws/

代码检查服务 Amazon CodeGuru Reviewer 是一款识别代码中的安全缺陷，为代码质量提升提供智能化建议的一款工具。本周，AWS 宣布 CodeGuru Reviewer 新增两项功能：
** 1. 加入检测器以辨别 Java 和 Python 代码中的日志注入漏洞**。

去年年底引起软件行业震动的 Log4j 漏洞就属于这一类别，但 AWS 指出检测器并不针对 Log4j，其原理并非扫描依赖库中有无风险，而是检查日志内容。

▲检查日志内容，避免日志注入漏洞

2. 加入 Java 和 Python 的检测器库，

提供各类检测器的详细说明，包括问题代码描述、严重性、潜在影响以及合规代码示例。CodeGuru 使用机器学习及自动推理来进行识别，因此能够在范例基础上发现更多问题。

延伸阅读：Google 安全团队称过去 3 年软件行业修复零时差漏洞速度明显提升

https://googleprojectzero.blogspot.com/2022/02/a-walk-through-project-zero-metrics.html

Google 研究零时差漏洞的安全专家团队 Project Zero 本周发表博客称，2021 年该团队提交的 63 个零时差漏洞中，平均修复时长为 52 天，相比 3 年前 80 天的平均修复时长有了明显的提升。

Project Zero 团队表示，缺陷与漏洞修复时长的缩短反映了产品设计、研发实践、交付频率、安全漏洞报告规范、漏洞处理规范等方面的提升。

团队同时建议各软件公司公开那些由外部报告的漏洞的补丁发布与修复版本发布时长，加强行业交流，共同探索优秀的软件研发实践与安全管理制度。

▲三年来Project Zero报告的零时差漏洞分布及处理情况

3. 行业活动

2 月 24 日晚 7 点，思码逸主办的 DevDataTalks 线上直播活动将邀请到有赞效能改进负责人费解老师，与思码逸高级咨询顾问张超老师共同探讨研发效能度量的落地与实战。

张超老师将从三个研发数据度量的应用场景为例，讲解效能度量如何切实指导团队实践改进；费解老师将结合有赞的效能度量实践，分享他们正在使用的模型与指标，以及度量之后如何落地。

思码逸 Merico 研发管理工具，致力于帮助开发者解决开发团队面临的效率、质量和人才三大痛点，提升开发效率与软件工程质量。

欢迎关注公众号【思码逸研发效能】

本文由博客一文多发平台 OpenWrite 发布！