Code Review Strutturata

Cos'è e quando si usa

Per tech lead e senior engineer che devono trasformare una review approssimativa in un report strutturato, azionabile e ordinato per gravità: ogni finding ha file, riga, impatto, fix proposto e rischio del fix.

Processo

Execution Templates

Fase di progetto

Template per status report e monitoraggio

Livello

Intermedio

Cosa contiene il file

VERDETTO MERGE: BLOCCATO (2 findings Bloccanti, 1 Alto)

SINTESI
- File analizzati: 3 | Findings: 7 (2 Bloccanti, 1 Alto, 2 Medi, 2 Nit)
- Rischio principale: SQL injection nel layer di ricerca.

CRITERI DI REVIEW
| Area | Criterio | Bloccante? |
|---|---|---|
| Sicurezza | Query parametrizzate, mai concatenazione | Sì |
| Security | Nessun hardcoding chiavi/token | Sì |
| Performance | N+1 query assente | No, ma Alto |
| Test | Coverage >= 80% | No, ma Alto se < 60% |

TABELLA RIEPILOGO
| # | Tipo | Gravità | File:Riga | Titolo | Azione |
|---|---|---|---|---|---|
| 1 | Sicurezza | Bloccante | UserRepository.php:48 | SQL Injection | Query parametrizzata obbligatoria |
| 2 | Performance | Alto | OrderService.php:120 | N+1 query in loop | Eager load con with() |
| 5 | Leggibilità | Basso | helpers.php:12 | Funzione 80 righe | Estrai metodi |

DETAGLIO FINDING #1 — SQL Injection [BLOCCANTE]
File: UserRepository.php:48
Tipo: Sicurezza
Evidenza: query costruita per concatenazione con $request->name non sanitizzato.
Impatto: esfiltrazione tabella users tramite input utente.

Before:
  $db->query("SELECT * FROM users WHERE name = '" . $name . "'");

After:
  $db->prepare("SELECT * FROM users WHERE name = ?")->execute([$name]);

Rischio del fix: Basso (nessun cambio di firma pubblica).