知识卡片
接受短期技术债务前要问清六个问题
内容
为快速清退攻击者而临时打的补丁——比如绕过审批流程手动改的防火墙规则——本质是拿技术债务换取眼前安全，值不值得换可用几个问题检验：这笔债务要背多久才能被替换；团队是否真愿意事后腾出时间偿还它；它会不会侵蚀错误预算；有没有清楚标记让不了解来龙去脉的人也能看出这是临时方案；如果意外停留数月而非两周会有什么后果；是否有专家审查过这些答案的疏漏。想不清楚，就说明这笔债务的风险还没被真正评估过。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第18章《恢复和善后》18.3.2节有哪些缓解方案（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_145.html`）
- 结论依据：原文在讨论手动改防火墙规则清退攻击者的例子后，给出六个自问问题："这项技术债务的持续时间有多久""团队是否愿意接受新的技术债务并偿还它们""缓解措施是否会影响正常运行时间""如何让人们意识到这种缓解是短期的""如果……停留在原地，效果会如何""是否有专家发现了……疏漏之处"。
- 原始内容：在决定是否要在短期缓解期间接受技术债务来驱逐攻击者时，请问自己以下问题。我们要等多久以及何时可以更换或撤销这些短期缓解措施？……试问自己：如果迁移需要6个月而不是预期的两周，会有什么影响？……是否有专家发现了你在回答上述问题时存在的疏漏之处？