工具
采纳
-
Conan 是一个用于 C/C++ 应用程序的开源依赖管理工具。它提供了直观的界面来定义、获取和管理依赖，使开发人员能够轻松地将第三方库集成到他们的项目中。Conan 支持所有主要操作系统，并可以适用于多种平台，包括服务器和桌面、移动和嵌入式设备。它也可以用于构建和发布 C/C++ 库和包。这些包可以通过 JFrog Artifactory 服务器在团队间共享。通过利用预构建的二进制文件，它显著节省了构建时间，特别是对于庞大的依赖。Conan 与流行的构建系统如 CMake 进行了集成，并拥有 Python SDK 用于扩展构建系统，以执行诸如签名之类的任务。根据我们的经验，Conan 改善了环境间的构建可重复性并加速了开发周期。这让代码库更加清晰易维护，对于大规模 C 和 C++ 项目而言是一个重要进步。如果你在项目中苦于依赖管理，Conan 绝对是提升开发效率的必要工具。
-
我们在 2022 年 10 月的技术雷达中加入了Kaniko，就在Kubernetes 停止支持 Docker之后不久。当时我们强调了 Docker 作为构建基于容器流水线中容器镜像的默认工具的趋势。从那以后，我们在不同流水线的工具和配置上增加了对 Kaniko 的使用经验。我们团队欣赏它的灵活性和性能，这就是为什么我们要将其移到“采纳”阶段，以此来强调 Kaniko 应当成为这一领域的默认工具。
-
Kubernetes 的一个基本功能是水平自动伸缩：它能够在需要额外容量时启动新的 pods，并在负载减少时将它们关闭。然而，这只有在需要托管 pods 的节点已经存在时才有效。Cluster Autoscaler 可以做一些基本的集群扩展，由 pod 故障触发，但它的灵活性有限；然而，Karpenter 是一个更智能的、开源的 Kubernetes Operator 节点自动伸缩器：它分析当前工作负载和 pod 调度约束，选择适当的实例类型，然后根据需要启动或停止它。Karpenter 是一个像 Crossplane 这样的工具，它可以在集群外部配置云资源的操作者。尽管 Karpenter 最初是由 AWS 为 EKS 开发的，但它正在成为云 Kubernetes 服务提供商中默认的节点自动配置器，而 Azure 最近开始支持 Karpenter，推出了 AKS Karpenter Provider。
试验
-
42Crunch API Conformance Scan 是一个动态测试工具，用于识别 API 文档中记录的行为与其实际实现之间的差异。此工具使用 OpenAPI 格式的 API 规格定义，概述了预期的功能和响应，并将其与 API 的实际行为进行比较。通过生成真实流量并与现场端点交互，该工具能够识别 API 承诺与其实际提供之间的任何差异。这为开发团队带来了很多好处。例如，它能在开发早期捕捉到不一致性，节省时间并防止问题进入生产环境。该工具还通过识别可能由于偏离记录行为而产生的潜在漏洞，帮助提高 API 的质量和安全性。总的来说，API Scan 能够通过识别诸如弱认证协议、不安全的数据处理实践和不充分的输入验证等问题，帮助评估 API 的安全态势。它能提供详细的报告，突出显示发现的问题以及修复建议。
-
actions-runner-controller 是一个 Kubernetes 控制器，用于操作 GitHub Actions 的自托管运行器。在需要访问 GitHub cloud runner 无法访问的资源，或具有与 GitHub 提供的不同的特定操作系统和环境要求的情况下，自托管运行器非常有帮助。这时如果团队使用 Kubernetes 集群，actions-runner-controller 将协调和扩展这些 runner。我们的团队非常赞赏它能够根据给定仓库、组织、企业或 Kubernetes 集群中运行的工作流数量来扩展 runner 的能力，以及它可以很好地处理 Linux 和 Windows runner。
-
Android Emulator Container 通过消除因操作系统兼容性问题和系统依赖，以及设置多个 Android 版本的模拟器所带来的复杂性，使得 Android 应用测试变得更为简便。传统上，这些复杂性会带来额外的工作量致使团队完全放弃自动化测试，进而导致开发和测试周期变慢。Android 模拟器容器简化了这个过程，使其可以无缝集成到 CI 流水线中进行自动化测试。我们的团队主要使用这些容器进行设备化测试，这些测试会在每次提交时自动执行，为开发者提供即时反馈。此外，我们还使用 Android 模拟器容器来运行夜间的端到端测试。
-
我们一如既往地认为应当将成本监控列为适应性函数。云服务商提供了各种监控云消费的服务，例如AWS Cost Explorer或Google Cloud FinOps Hub。在 AWS 生态系统中，我们的团队使用CUDOS（Cost and Usage Dashboards Operations Solution）来监控大型母公司下不同业务部门或法律实体在AWS Marketplace的消费。该仪表板提供了全面的成本和使用细节，具有资源级别的细粒度，有助于优化成本、跟踪使用目标并实现运营卓越。
-
aws-nuke 是一个开源工具，解决了开发和沙箱 AWS 账户中积累未使用资源导致成本效率低下的常见挑战。该工具可以识别并删除 AWS 账户或区域内所有可删除的资源，除了默认或 AWS 管理的资源，本质上是要将环境重置为第一天的状态。它还提供自定义排除策略，以确保关键资源得到保护。我们已经在成本优化的默认用例以及灾难恢复（DR）环境中成功使用了这个工具。通过自动化清理开发和沙箱环境，aws-nuke 帮助最小化不必要的资源开销。它还有助于在演习或练习后高效拆除临时 DR 基础设施。尽管稳定，aws-nuke 是一个非常具有破坏性的工具，不适用于生产环境。请始终进行试运行，以确认不会删除必要资源。
-
Develocity （之前是 Gradle Enterprise） 解决了大型软件项目长时间的构建和测试周期的痛点。它采用构建缓存和预测试选择来提升性能从而缩短开发人员在本地和 CI/CD 环境中的反馈循环。我们的平台团队发现这对于加速构建和测试、分析命令以确定工作流程中哪些部分仍需优化、识别和解决不稳定的测试以及对运行测试的硬件进行分析非常有用。
-
尽管 AI 编码辅助市场愈发壮大，GitHub Copilot仍然是我们的首选，且被许多团队广泛使用。自上次我们介绍 GitHub Copilot 以来，最有趣的改进来自于聊天功能。例如，不再需要用注释作为提示，这样会使代码变得混乱； 相反，内置聊天可以帮助提示用户，而无需撰写注释。内联聊天还可以更改代码，而不仅仅是编写新行。现在还可以通过使用
@workspace标签，显著扩展聊天时询问有关代码问题的上下文。这使得用户可以询问有关整个代码库的问题，而不仅仅是打开的文件。你可以通过使用Copilot Enterprise版本进一步扩展此上下文，该版本会从你在 GitHub 上托管的所有存储库中提取上下文。最后，GitHub 已经开始将一些聊天请求路由到更强大的基于 GPT-4 的模型，并且在流行的 Jetbrains IDE 中即将推出聊天功能（尽管在撰写本文时仍处于内测阶段）。这些发布表明，这一领域的改进步伐并未减缓。如果你去年尝试过编码助手却最终放弃，我们建议你持续关注新发布的功能，并再次尝试。 -
Gradle 版本目录是 Gradle 构建工具的一个有用的功能，它允许你集中管理构建文件中的依赖项。我们的团队发现它在Android 多模块项目中特别有用。你可以为这些依赖项创建一个中央版本目录，然后在 Android Studio 的帮助下以一种类型安全的方式引用它，而不是在单独的构建文件中硬编码依赖项名称和版本号并管理升级。
-
Maestro 在测试移动应用程序中的复杂流程时非常有用。它易于学习和理解，并且可以很方便地集成到我们的开发工作流程中。Maestro 支持一系列移动平台，包括 iOS、Android、React Native和Flutter应用。其声明式的 YAML 语法简化了复杂移动 UI 交互的自动化。从工具的演进来看，它的增强功能值得关注，如全面的 iOS 支持以及引入了诸如Maestro Studio和Maestro Cloud之类的工具，我们鼓励任何希望优化其移动应用程序测试流程的人尝试一下。
-
Microsoft SBOM 工具 是一个开源工具，用于生成与 SPDX 兼容的软件物料清单（SBOM）。我们之前已经提到过软件物料清单，而这个工具其变得更加容易。SBOM 工具支持多种流行的包管理器（包括 npm、pip 和 Gradle），所以可以与许多项目兼容。它非常易于使用，可以集成到现有的开发工作流中，包括与 CI/CD 流水线的集成。借此开发者获得了多重优势，其中改善软件安全是一个关键好处，因为清晰的组件视图可以帮助识别漏洞和管理风险。许可证合规性也得到增强，因为开发者可以确保遵守所有相关协议。此外，SBOM 在软件供应链中促进透明度，帮助跟踪依赖性和缓解潜在风险。如果你正在寻求简化 SBOM 生成、提升软件安全性以及控制你的软件供应链，你应该尝试一下 Microsoft SBOM 工具。
-
虽然 GitHub Actions runners 已经覆盖了最常见的运行时环境，并且是最早投入使用的，但有时团队还是需要管理自托管运行器，比如当组织政策只允许从组织内部的安全边界内部署到私有托管基础设施时。在这种情况下，团队可以使用 Philips's self-hosted GitHub runner，这是一个 Terraform 模块，可以在 AWS EC2 竞价实例(spot instance)上启动自定义运行器。该模块还创建了一组 Lambda 用于处理这些运行器的生命周期管理（扩展和缩减）。根据我们的经验，这个工具极大地简化了自托管 GitHub Actions runner 的配置和管理。对于使用 Kubernetes 的团队来说，另一种选择是 actions-runner-controller。
-
结对编程对于我们来说是一项必不可少的实践，因为它能帮助我们提高代码质量，在团队内传播知识。虽然结对编程最好发生在线下，面对面进行，但在不可避免要进行线上结对时，我们的团队成员也为此探索了很多工具，比如Tuple, Visual Studio Live Share, Code With Me ，和通用的聊天及会议工具。 Pop （前身为 Screen）作为这个领域最新的工具引起了我们的关注， 它来源于 Screenhero 的创建者，支持多人屏幕分享、编写注释和进行高质量音频/视频通话。我们有些团队正在频繁使用它来进行结对编程和远程工作会议，他们对该软件体验反馈非常正向。
-
作为软件构建过程的一部分，自动监控和更新依赖项已成为整个行业的标准实践。这样一来，在开源软件包发布安全更新时，用户不必盲目猜测。多年来，Dependabot 一直是这一实践的标准工具，但 Renovate 在出现后逐渐成为许多团队的第一选择。他们发现 Renovate 更适合现代软件开发环境，其中可部署的系统不仅依赖于代码和库，还包括运行时工具、基础设施和第三方服务。除了代码之外，Renovate 还涵盖了对这些辅助工件的依赖性。我们的团队还发现 Renovate 通过配置和定制选项提供了更多的灵活性。尽管 Dependabot 仍然是一个安全的默认选择，并且能够更方便地与 GitHub 集成，但我们建议评估 Renovate，看看它是否可以进一步减轻开发人员手动维护应用生态系统安全的负担。
-
Terrascan 是一个用于基础设施即代码 (IaC) 的静态代码分析器，旨在云原生基础设施部署之前检测安全漏洞和合规问题。 它支持对Terraform, Kubernetes (JSON/YAML), Helm, AWS CloudFormation, Azure Resource Manager, Dockerfiles 和 GitHub 进行扫描。 默认策略包支持所有主流的云供应商, GitHub, Docker 和 Kubernetes. 我们团队在本地使用 Terrascan 作为预提交钩子(pre-commit hook) 并在 CI 流水线中集成 Terrascan 来检测 laC 漏洞和违规行为。
评估
-
aider 是一款开源的 AI 辅助编码工具。与该领域的许多开源工具一样，aider 并不直接与 IDE 集成，而是以 CLI 的形式在终端启动。目前许多辅助编码工具只能读取代码，或者一次只能更改一个文件，而 aider 的有趣之处在于，它提供了一个聊天界面，并且有写权限来对多个文件的代码库进行访问。这使得 aider 可以帮助实现跨越多个文件的概念（例如，在 HTML 中添加定位器，然后在功能测试中使用它们”），并在代码库中创建新的文件和文件夹结构（例如，创建一个与 X 文件夹中的组件类似的新组件）。由于 aider 是开源而非托管产品，因此需要提供 OpenAI 或 Azure OpenAI API 密钥才能使用。一方面，因为是按使用量计费，这非常适合轻度使用；但另一方面，aider 在与 AI API 交互时似乎很“健谈”，因此使用时要注意请求开销和费用限制。
-
Akvorado 是一个开源的网络监控和分析工具。它可以捕获网络流量，支持 Netflow/IPFIX 和 sFlow 协议，为其添加接口名称和地理信息，然后将更新后的流量保存在ClickHouse中供未来分析使用。虽然OpenTelemetry在观测应用层流量方面越来越受欢迎，但我们通常会遇到在网络层面很难发现和解决的挑战。在这种情况下，像 Akvorado 这样的工具非常有用，它可以帮助你分析网络拓扑中各种设备之间的网络流量。
-
Rust的高效和性能很适合用于无服务器计算，再考虑到它还有函数无需运行时的优势，这些都使得它能快速启动工作。 但是使用 Rust 开发 lambda 函数的体验此前并不好，而这一情况被 Cargo Lambda的出现改变了。作为 cargo 的子命令，它能集成到典型的 Rust 工作流中并且能允许你在开发机上运行和测试 AWS Lambda 函数而无需借助Docker、虚拟机，或者其他工具。 使用 Zig 工具链，Cargo Lambda 可以在多种不同操作系统中的 Linux 沙盒中交叉编译并用于 AWS Lambda，这套工具链支持 ARM 和 Intel 作为目标架构。
-
目前被广泛使用的 REST APIs 的一个特点是它们的合约会被彻底地记录在案。开发者更倾向于采纳和使用那些以结构化、有组织的方式准确描述其行为和语法的 API。随着合约的发展，保持这些文档的更新可能既耗时又容易被忽视。Fern Docs 通过减少编写和维护 API 文档的劳动强度来帮助解决这个问题。Fern 可以自动从规范文件生成一个具有吸引力、可用文档的网站，这个文件能与 API 代码一起版本化。我们对这个产品的初步印象是积极的，不过 Fern 要求用户在一个专有配置文件中维护 API 信息，尽管它提供了一种将 OpenAPI 规范转换为其自己的配置格式的方法，但我们更期待一个能够直接从带注释的源代码生成文档的工具。
-
鉴于组织在 AWS 环境中常常采用多账户策略，工程师经常需要在短时间内切换多个账户。而Granted作为一个命令行工具，简化了同时在浏览器中打开多个账户的操作，从而使账户切换变得更加流畅。它利用浏览器的原生功能来隔离多个身份，例如 Firefox 的 多账户容器 和 Chromium 的配置文件。如果指定了特定服务（如 S3）作为参数，Granted 会打开该服务的登录页面。目前，Granted 仅支持 AWS。值得注意的是，它将 AWS SSO 的临时凭证安全地存储在密钥链中，而不是以明文形式存储在磁盘上。
-
LinearB 是一个旨在为工程领导者提供数据驱动洞察以实现持续改进的平台。它主要在三个关键领域发挥作用：基准测试、工作流自动化和投资。我们在使用 LinearB 的度量工具时发现，它有助于支持持续改进。我们的一个团队利用该平台跟踪工程度量、识别和讨论改进机会，并根据数据定义可行的步骤，从而取得了可衡量的进展。我们很高兴看到这与 LinearB 的核心价值主张相一致：基准、自动化和改进。LinearB 与 GitHub、GitLab、Bitbucket 和 Jira 集成。它提供了一套全面的预配置工程度量，重点关注DORA 度量（部署频率、交付周期、变更失败率和恢复时间）。作为 DORA 研究定义的四个关键度量的坚定支持者，我们欣赏 LinearB 在度量对软件交付效能真正重要的维度的重视。一直以来，收集 DORA 特定度量都是一个挑战。许多团队不得不借助复杂的 CD 管道仪器、自定义仪表板或依赖手动流程。尽管我们的体验仅限于一个团队，但 LinearB 似乎是工程度量收集和跟踪以及培养数据驱动持续改进方法的一个引人注目的替代品。
-
LLaVA（Large Language and Vision Assistant） 是一个开源的大型多模态模型，它结合了视觉编码器和大语言模型，用于通用视觉和语言理解。LLaVA 在遵循指令方面的强大能力，使其成为多模态人工智能模型中的有力竞争者。最新版本，LLaVA-NeXT，能进一步提升问答能力。在开源的语言和视觉辅助模型中，与GPT-4 Vision相比，LLaVA 是一个很有前景的选择。我们的团队一直在使用它进行视觉问题解答。
-
Marimo通过优先考虑复用性和交互性，为 python notebook 提供了新的体验。它解决了传统 notebook 如Jupyter中隐藏状态（hidden state）的挑战, 该问题可能导致不可预料的结果并阻碍可复用性。Marimo 通过将 notbook 存储为无隐藏状态的纯 python 文件和基于依赖关系（当变量改变时，所有受影响的 cell 会自动运行）的确定性执行顺序来解决这个问题。Marimo 还使用了类似的可以将 cell 值的改变传递给依赖于该 cell 的交互式 UI 元。它可以被部署为网页 app，也可以用于展示成果和进行原型设计。虽然我们对 Marimo 的潜力，尤其是数据探索和分析目标上的再现性潜力感到兴奋，我们依然谨慎对待生产化的笔记本。
-
NeMo Guardrails 是 NVIDIA 的一个易用开源的工具包，它可以使开发人员在会话应用的大语言模型上实现一套防护措施。尽管大语言模型在构建交互式体验上有巨大的潜力，但他们在事实准确性、偏见和潜在的滥用方面上存在一些固有的局限性，这使得我们需要采取一些必要的保护措施。Guardrails 提供了一个有前景的方法来确保大语言模型的责任性和可信性。尽管当谈到大语言模型的保护措施时都会有多种选择，但是我们团队发现 NeMo Guardrails 尤其有用，因为它支持可编程的规则和运行时的集成，并且可以应用到现有的大语言模型的应用上，而不需要大量的代码修改。
-
大语言模型（LLMs）和检索增强生成（RAG）技术极大地提高了我们整合和提取信息的能力。我们看到越来越多的工具利用了这一点，QAnything 就是其中之一。QAnything 是一个问答界面的知识管理引擎，能够从包括 PDF、DOCX、PPTX、XLSX 和 MD 文件等在内的多种文件格式中总结和提取信息。出于数据安全考虑，QAnything 还支持离线安装。我们的一些团队使用 QAnything 来构建他们的团队知识库。在具有更深行业深度的 GenAI 场景中（例如为投资报告生成摘要），我们也尝试使用这个工具进行概念验证，以在构建真正的产品之前展示 LLMs 和 RAG 的潜力。
-
近年来，几乎没有新兴工具能挑战 Terraform 作为基础设施即代码工具的主导地位。尽管出现了 Pulumi、CDK 以及最近的 Wing 等替代方案，但 Terraform 的模块化、声明式范式已被证明是最持久流传的。事实上，所有这些方法都有一个共同的目标，即模块化代码创建单一的基础设施。System Initiative 是一款全新的、实验性的工具，代表了 DevOps 工作的一个新方向。可以将 System Initiative 视为基础设施的数字孪生。对 System Initiative 状态的交互式更改会导致相应的变更集，可以应用于基础设施本身。同样，基础设施的变更也会反映在 System Initiative 状态中。这种方法的一个巨大优势体现在，它为应用部署和可观测性等事务创造的协作环境。工程师通过具有整个环境图形表示的用户界面，与 System Initiative 进行交互。除了管理云基础设施，您还可以使用该工具来管理容器、脚本、工具等。尽管我们通常对这类 GUI 工具持怀疑态度，但 System Initiative 可以通过 TypeScript 代码扩展来处理新资产或执行策略。我们非常喜欢这个工具中所体现的创造性思维，并希望它能鼓励其他人突破基础设施即代码方法的现状。System Initiative 是免费和开源的，基于 Apache 2.0 许可，目前处于公开测试阶段。维护者自己还不建议将该工具用于生产环境，但我们认为它值得在当前状态下检查，体验一种完全不同的 DevOps 工具方法。
-
Tetragon 是一个基于 eBPF 的开源安全可观测性和运行时强制执行工具。我们一段时间前在 Radar 中提到了 Falco，用于检测安全威胁。Tetragon 通过利用 eBPF 在 Linux 内核中在运行时 执行安全策略，实现了不仅限于威胁检测的能力。你可以将 Tetragon 作为一个独立工具在裸机环境中使用，也可以在 Kubernetes 环境中使用。
-
我们正在基础设施即代码（IaC）领域看到许多新动态，像 Winglang 这样的工具正在出现。Winglang 采取了一种不同的方法来定义基础设施和运行时行为。它提供了高级抽象，覆盖了由 CloudFormation、Terraform、Pulumi 和 Kubernetes 等工具提供的平台特定功能。使用 Winglang，你可以编写在编译时运行的代码以生成基础设施配置，然后编写在运行时执行的代码以进行应用程序行为。它提供了一种在本地运行的模拟模式，并集成了测试框架。我们正在关注这个有趣的工具，它可能预示了 IaC 未来发展方向。
暂缓
- 新的
- 移进/移出
- 没有变化
无法找到需要的信息？每期技术雷达中的条目都在试图反映我们在过去六个月中的技术洞见，或许你所搜索的内容已经在前几期中出现过。由于我们有太多想要谈论的内容，有时候不得不剔除一些长期没有发生变化的条目。技术雷达来自于我们的主观经验，而非全面的市场分析，所以你可能会找不到自己最在意的技术条目。
无法找到需要的信息？每期技术雷达中的条目都在试图反映我们在过去六个月中的技术洞见，或许你所搜索的内容已经在前几期中出现过。由于我们有太多想要谈论的内容，有时候不得不剔除一些长期没有发生变化的条目。技术雷达来自于我们的主观经验，而非全面的市场分析，所以你可能会找不到自己最在意的技术条目。
