Womit werden Web-basierte Geschäftsanwendungen entwickelt?

[Sgt_H4rtman]

Cloud bleibt eher ein Startup- / Hipsterbranchen- / Dauerentwicklungsthema für Unternehmen, die eigentlich nicht relevant genug sind aber schön, dass es sie noch gibt.

Was ist denn das für ein Blödsinn? Sämtliche Amazon Angebote, Netflix, Google Dienste oder Office 365. Alles in der Cloud, sei es AWS, Google Cloud oder Azure. Die sind alle Größenordnungen größer. Die GDV Mitglieder unterliegen genau wie Banken mit der BaFin besonderen Regularien. Die Unternehmen würden liebend gern Dienste wie AWS in Anspruch nehmen.

 

[wirelessy]

Und es ist gut so, dass sie es nur begrenzt können und dürfen.
Sage ich als jemand, der für einen StGB §203 relevanten Betrieb eine private cloud Infrastruktur aufgebaut und betrieben hat, und der jetzt bei einem in Azure gehosteten SaaS-Provider rumläuft.

"Herr vergib Ihnen, denn sie wissen nicht was sie tun".

 

[ayngush]

Die Unternehmen würden liebend gern Dienste wie AWS in Anspruch nehmen.

Also ich spreche mit den Unternehmen, falls vorhanden, auf CTO-Ebene und bisher habe ich bezüglich Public Cloud dort andere Rückmeldungen erhalten. Klar entwickeln die alle "an Docker" usw. herum aber eben im eigenen RZ als Teil der TGIC... Und Amazon & Netzflix sind keine KRITIS. Wenn es die hier nicht mehr gäbe, wäre das doof, dann bricht aber nicht die öffentliche Ordnung zusammen. Daran sieht man, dass, wenn etwas nur wichtig genug ist, die public Cloud im Auswahlverfahren bezüglich nicht handhabbarer Risiken ausfällt. Das heißt ja nicht, dass keine IaaS oder PaaS oder SaaS betrieben wird, im Gegenteil. Nur halt nicht als Azure, AWS oder sonstwas öffentliches sondern in eigenen RZ.

 

[Sgt_H4rtman]

Und Amazon & Netzflix sind keine KRITIS. Wenn es die hier nicht mehr gäbe, wäre das doof, dann bricht aber nicht die öffentliche Ordnung zusammen.

Amazon und nicht wichtig? Dir ist schon bekannt welche Teile des Internets mittlerweile über AWS gehostet werden? Entschuldige dieses Versicherungen und Banken sind Systemkritisch ist der größte Nonsense aller Zeiten. Die sind überflüssig und nichts würde zusammenbrechen.
Wie gesagt wenn du mit CTOs in dem Bereich sprichst ist das ja nett, aber die denken natürlich nicht über die public Cloud nach, weil sie es eben einfach nicht dürfen. Dennoch sind sie neidisch darauf wie simpel und skalierbar ein echtes Cloud native Setup in AWS funktioniert. Cloud ist nicht nur Docker. Cloud ist vor allem Managed Services. Ein neuer Postgres Cluster mit automatischer Skalierung, Verschlüsselung und Datensicherung? Bei AWS sind das wenige Mausklicks. Das schaffst du in keiner Private Cloud und on premise sowieso nicht, schon gleich gar nicht zu den Kosten.

 

[ayngush]

Ja stimmt schon, wer braucht schon Geld und eine funktionierende Krankenversorgung. Hauptsache Netflix läuft. AWS kannste abschalten, dann fallen ein paar Webseiten aus und das war es. Strom und Wasser laufen weiter, Geld läuft weiter, Militär und Rettungskräfte laufen, die öffentlichen Verwaltungen funktionieren noch. Alles andere ist irrelevant für die öffentliche Ordnung. Auch dieses "Internet".

 

[Sgt_H4rtman]

Vor den Fuggern kannten die Menschen gar nicht das Finanzsystem, welches wir heute wie die heilige Kuh verehren.
Aber ich sage dir was. Wenn Netflix oder das Internet allgemein zusammenbricht, dann hat deine Finanzelite ein ganz böses Problem. Dann bricht nämlich der wirklich wichtige Teil von "Brot und Spiele" weg. Dann fangen die Menschen womöglich an, wieder richtig hin zu schauen.

 

[[n]ARC]

Genau so wie Drupal...

Sry, ich weiß nicht wie es andere Systeme machen, aber woher hast Du den bitte diese dumme Weißheit? Drupal ist eines der sichersten Systeme mit einem eigenen Security Team und festen releases zu Contrib, Core, Security Updates.


Du vertraust also deinen Anwendungen mehr als OpenSource Projekten an denen mehrere tausend Leute arbeiten? Hmja, ich weiß, welche Anwendung ich nicht haben möchte

 

[new Account()]

Gerade im Umgang mit Kundendaten vertraue ich nur meiner eigenen Entwicklung

Du vertraust also deinen Anwendungen mehr als OpenSource Projekten an denen mehrere tausend Leute arbeiten? Hmja, ich weiß, welche Anwendung ich nicht haben möchte

Erinnert mich an die 7 tödlichen Sünden von Software engineering: Pride

Ergänzung (11. August 2020)

Ah da hat es einen älteren Thread erwischt

 

[ayngush]

Drupal ist eines der sichersten Systeme mit einem eigenen Security Team und festen releases zu Contrib, Core, Security Updates.

Sry, aber wo hast du denn diesen Schwachsinn aufgeschnappt? Das die Updates herausbringen ist ja wohl das mindeste. "Eines der sichersten Systeme" sollte aber nicht ständig durch kritische Sicherheitslücken auffallen. Das ist bei Drupal jedoch regelmäßig und andauernd der Fall: https://www.heise.de/thema/Drupal
Ich behaupte nicht, dass meine Software fehlerfrei ist, sie ist jedoch sehr viel weniger komplex als es Drupal ist und dadurch ist das Risiko auch sehr viel geringer.
Drupal als eines der sichersten Systeme zu bezeichnen ist jedoch schon echt hart.

 

[new Account()]

Ich behaupte nicht, dass meine Software fehlerfrei ist, sie ist jedoch sehr viel weniger komplex als es Drupal ist und dadurch ist das Risiko auch sehr viel geringer.

Und nebenbei auch das KnowHow und die Zeit, die in das Auffinden von Sicherheitslücken investiert wird.

 

[Legolas]

Hinzu kommt auch noch das Drupal mit PHP geschrieben wird/wurde. Da ist ja schon der Unterbau manchmal ein Sicherheitsrisiko

 

[[n]ARC]

Sry, aber wo hast du denn diesen Schwachsinn aufgeschnappt? Das die Updates herausbringen ist ja wohl das mindeste. "Eines der sichersten Systeme" sollte aber nicht ständig durch kritische Sicherheitslücken auffallen. Das ist bei Drupal jedoch regelmäßig und andauernd der Fall: https://www.heise.de/thema/Drupal
I...

Exakt daran erkennt man, dass Du von Drupal absolut keine Ahnung hast, aber Hauptsache etwas in die Welt gestreut. Wie ich schon sagte, weiß ich inzwischen nicht mehr wie die anderen Systeme es handhaben, damit habe ich vor über 7 Jahren aufgehört zu arbeiten, weil mir die Konzepte nicht zusagten. Drupal, ja eines der sichersten und am besten gemaintainten OpenSource Systeme, wie ich oben schon erwähnte: Security Team und festen releases zu Contrib, Core, Security Updates.

Das Du so abfällig über OpenSource Systeme sprichst, sagt mir nur eines, dass Du dich damit nahezu nie beschäftigt hast, im Detail, unter der Motorhaube. OpenSource funktioniert ist dir hoffentlich ein Begriff? Daher finde ich deine Aussage: die sollen gefälligst Updates for free herausbringen wenn sie schon so nen nen shize bauen, rly?

Bei Drupal geht es darum, dass man das System in der riesigen Community entwickelt. Es werden ständig Verbesserungen gebaut, Sicherheitsfehler entdeckt und dies von einem dedizierten Security Team in festen Phasen gefixt und releast, immer der Mittwoch.

Ausserdem solltest Du hier berücksichtigen ob wir von core oder contrib sprechen. Bei einer Anzahl von Modulen im 5-stelligen Bereich ist es klar, dass in den Modulen oft Security Fehler gefunden werden, die aber sofort geschlossen werden. Wann hast Du in deiner Anwendung zuletzt ein Security Problem entdeckt? Das ist einfach grotestesk zu glauben, dass Du perfekte Anwendungen schreibst, das ist halt absoluter Quatsch.

Darf ich fragen was Du beruflich machst und in welchem Segment? Mir scheint wir haben hier einen Fall von klarer Überschätzung seiner eigener Fähigkeiten.

Ansonsten für dich einige Links:

• https://www.drupal.org/security - hier kannst Du erkennen, wie akribisch die Community an fixes ALLES contribs und natürlich cores arbeitet, zeig mir ein anderes System wo es genau so passiert.
• https://www.drupal.org/docs/security-in-drupal
• https://blog.nexcess.net/drupal-security/

Wenn Drupal so unsicher wäre, wie Du es schreibst, würde das Unternehmen in dem ich tätig bin nicht für die größte französische Bank, DAX Unternehmen für 3D-Druck, keinem Finanzdienstleister, Publisher auf Konzernebene oder auch nur eine kleine Golfanlagen-Seite, Webanwendungen schreiben. Aber hey, sie alles sind sicherlich genau so doof und haben weder Prozesse, noch Security-Verständnis, schmeißen Geld zum Fenster aus.

Worauf ich hinaus möchte, bevor man sagt, dass es absoluter Shize ist, sollte man sicher mit den Systemen wenigsten halbwegs professionell befasst haben, das hast Du hier an der Stelle absolut nicht, schreibst aber in einer großen Community, dass es Mist ist und Du nur auf deine Bibel vertraust.

Hinzu kommt auch noch das Drupal mit PHP geschrieben wird/wurde. Da ist ja schon der Unterbau manchmal ein Sicherheitsrisiko

Klar, keine Software der Welt ist 100%ig sicher, viel mehr geht es darum die Software zu verbessern, die Sicherheitslücken zu schließen. Drupal basiert übrigends auf Symfony, hier ist die Community genau so riesig. Daher, es ist zwar ein PHP-Framework, aber keine wirkliche und einfach PHP-Kiste.

Dafür sorgt die OpenSource Community, bei ClosedSource Projekten kann man nur betten, dass es durch Regressions- und Securitytests halbwegs sicher ist. Wie ich schon schrieb, 10 Leute sind nicht klüger/besser als ein Pool aus mehreren tausend Entwickler, die täglich mit den Systemen arbeiten, reporten, fixen, releasen. Und das auch noch zum Nulltarif.

 

[ayngush]

Ich brauche aber kein CMS, also zweckentfremde ich kein CMS für meine Anwendungen. Dadurch habe ich weniger komplexe Anwendungen, die dadurch weniger Angriffsvektoren bieten und dadurch prinzipiell sicherer sind. Das ist das "Kindergarten 1o1" in Sachen Sicherheit: Reduziere die Komplexität.

 

[new Account()]

und dadurch prinzipiell sicherer sind.

nein: mehr als ein Indiz für sonst vergleichbare Softwarestücke ist das nicht

 

[BeBur]

Weniger Komplexität ist definitiv besser.
Ich wundere mich aber aus einem anderen Grund. Die Hauptfragen sind doch organisatorischer Natur, kann man support einkaufen, gibt es LTS. Wie ist das mit Haftungsfragen, wie gut ist der 'cover your ass' faktor.
ich kenne das daher in meinem Umfeld eher so, dass noch nicht einmal Python eingesetzt wird bzw. werden darf bzw. wenn dann ist das absolut innovativ und bisher ungesehen.
Ich will aber nicht absprechen, dass es bestimmt auch einen Sweet-Spot für den Verkauf von Eigenentwicklungen gibt.

 

[[n]ARC]

... Dadurch habe ich weniger komplexe Anwendungen, die dadurch weniger Angriffsvektoren bieten und dadurch prinzipiell sicherer sind. Das ist das "Kindergarten 1o1" in Sachen Sicherheit: Reduziere die Komplexität.

"Kindergarten" ist eher, dass Du über Systeme negative Aussagen tätigst von denen Du absolut keine Ahnung hast, damit noch nie gearbeitet hast (anscheinend) und weiterhin deine seltsame Vorgehensweise verteidigst. Du gehst auf keiner meiner Fragen ein, das bestätigt mich weiterhin, dass Du dich bodenlos überschätzt. Verstehe mich bitte nicht falsch, ich will dich hier nicht persönlich anfahren, ich habe jedoch ein Problem damit, wenn Polemik gestartet wird, OpenSource in so einem Licht vorgestellt wird, das ist wirklich uncool.

Wie ich schon schrieb, welche Anforderungen löst Du mit deinem custom code, welches Segment, wie oft wird es eingesetzt, intern oder auch extern abrufbar, wie testest Du deine Anwendungen, wer prüft sie im zweiten Schritt, beantworte doch wenigstens eine Frage im Detail. So ist es einfach nur quatsch was Du von dir gibst.

Komplexität heutiger Software entsteht nicht weil alle Entwickler es so geil finden, sondern weil man alle möglichen Anforderungen in einem größtmöglichen Sicherheitsaspekt erfüllen möchte, dabei auch noch die Wartbarkeit des Codes und der Anwendung auf einer Benutzerfreundlichen Ebene schaffen möchte.

Nur zu deiner Info, Drupal ist an sich kein CMS sondern ein Framework. Du kannst das Backend für deine Datenstrukturen (filligran zerstückeln bis ins kleinste Atom) nutzen und damit decoupled Frontend ausgeben, Du kannst über REST-APIs die halbe Welt an das System anschließen, das System deckt so viele Anwendungsfälle ab, dass ich hier mit dem aufzählen nicht hinterher komme, von einer kleinen Webseite für einen Tante-Emma Laden, bis zu komplexen prozessgesteuerten Industrie/Fintech/Content/Automation Enterprise Anwendungen. Und dies kann diese Stück Software auf eine extrem elegante Art und Weise, Module, EventListener, Migrationen, Schnittstellen usw mit einer der großartigesten Communitys, die ich bisher kennenlernen durfte.

Informiere dich also bitte vorher zu Systemen, bevor du sagst, dass sie scheiße sind: man könne das ja überall lesen, da muss ich echt mit dem Kopf schütteln.

Weniger Komplexität ist definitiv besser.
Ich wundere mich aber aus einem anderen Grund. Die Hauptfragen sind doch organisatorischer Natur, kann man support einkaufen, gibt es LTS. Wie ist das mit Haftungsfragen, wie gut ist der 'cover your ass' faktor.
ich kenne das daher in meinem Umfeld eher so, dass noch nicht einmal Python eingesetzt wird bzw. werden darf bzw. wenn dann ist das absolut innovativ und bisher ungesehen.
Ich will aber nicht absprechen, dass es bestimmt auch einen Sweet-Spot für den Verkauf von Eigenentwicklungen gibt.

Drupal hat tatsächlich sehr viele Prozesse eingeführt, angetrieben von der Community zu der auch Konzerne dazugehören. Im Moment haben wir zwei LTS Versionen 8.9.x und die neue 9.x (geschuldet dem Symfony upgrade auf 4). Mann kann die Releases und deren Gültigkeite hier ganz gut visuell erfassen: https://hugovk.github.io/drupal-release-cycle/

Ansonsten klar, Support wird von der Community angeboten, im professionellem Bereich wird allerdings eine Agentur benötigt, die tatsächliche Drupal-Spezialisten vorweisen kann. Im bestenfall mit mehrjähriger Erfahrung und zertifiziert.

Daraus entstehen weitere Unternehmen und Services, man kann z.B. Drupal mit allen composer dependencies komplett automatisiert aktualisieren und über eine CI auf production ausrollen. Da brauchst sich kein Mensch mehr drum kümmern wenn es einmal vernünftig eingerichtet es.

Ansonsten ist es natürlich immer Anfoderungsabhängig, wenn bei euch im Unternehmen Python als der heiße shice gefeiert wird, muss man dazu natürlich noch ein paar andere Fakten evaluieren. Das passiert ja sicher nicht aus irgendeinem Grund, dass andere technologien nicht eingesetzt werden. Oder der laden denkt einfach nicht modern genug, weil es ja vor 30 Jahren auch schon so funktioniert hat Berichte gerne mehr, finde es immer extrem spannend wie andere es machen um daraus zu lernen.

Zum Thema Eigenentwicklungen: Drupal ist ein Werkzeugbaukasten, wenn du mit vorhanden Modulen deine Anforderungen nicht erfüllen kannst, so schreibst Du einfach ein eigenes Modul, welches den Drupal Coding Standards entspricht und somit gleichbleibend gute Code-Qualität ablieferst. Drupal ist kein Allheilmittel, wer aber vom Scratch Anwendungen entwickelt, obwohl es schon Lösungen gibt, dem ist leider nicht mehr zu helfen. Die armen Kunden die das bezahlen und an der Backe haben

 

[AW4]

@[n]ARC du magst Drupal und das ist auch ok.
Es ist auch voll in Ordnung und positiv hervorzuheben, dass die Leute dort Ressourcen aufwenden, um eine größtmögliche Fehlerfreiheit und Sicherheit von Drupal zu gewährleisten.
Was dir aber @ayngush versuchen will zu sagen ist, dass du dich der Faktenlage in diesem Thema nicht entziehen kannst.
Und die sagt nun Mal: Je mehr Code, desto mehr Fehler.

Hierzu diese kleine Zusammenfassung:

The book "Code Complete" by Steve McConnell has a brief section about error
expectations. He basically says that the range of possibilities can be as
follows:

(a) Industry Average: "about 15 - 50 errors per 1000 lines of delivered
code." He further says this is usually representative of code that has some
level of structured programming behind it, but probably includes a mix of
coding techniques.

(b) Microsoft Applications: "about 10 - 20 defects per 1000 lines of code
during in-house testing, and 0.5 defect per KLOC (KLOC IS CALLED AS 1000 lines of code) in released
product (Moore 1992)." He attributes this to a combination of code-reading
techniques and independent testing (discussed further in another chapter of
his book).

(c) "Harlan Mills pioneered 'cleanroom development', a technique that has
been able to achieve rates as low as 3 defects per 1000 lines of code during
in-house testing and 0.1 defect per 1000 lines of code in released product
(Cobb and Mills 1990). A few projects - for example, the space-shuttle
software - have achieved a level of 0 defects in 500,000 lines of code using
a system of format development methods, peer reviews, and statistical
testing."

Drupal 8 hat mehr als 750000 Code Zeilen (ohne Blanks und Kommentare), Drupal 9 ist wahrscheinlich schon über der 900k Marke und geht auf die Millionen zu, wenn das nicht eh schon passiert ist.
Nicht einbezogen sind natürlich PlugIns.
Und auch nicht, dass das Ganze PHP von einem in C geschriebenen Interpreter ausgeführt wird, der selber noch einmal Fehler enthält... ab hier wärs aber unfair, weil das müssen alle anderen Interpreter-Sprachen ja auch.
Und da so ein Interpreter, genauso wie Compiler, Dreh- und Angelpunkt der Sprache ist, wird man dort sehr wahrscheinlich auch mit Abstand die wenigsten Fehler finden.

Ist man gnädig und kategorisiert Drupal mit einer Fehlerdichte von 1-5 per kLOC, nimmt die 900k LOC und ignoriert potentiell verwendete PlugIns und zusätzliche Eigenentwicklungen, landet man bei 900-4500 Fehler.

Schätzt man @ayngush's Eigenbau auf 10k-25k (ins Blaue geschätzt!) und nimmt den Industriedurchschnitt von 15-50 Fehler per kLOC landen das bei 150-1250.

Es sind natürlich nicht alle Fehler gleich auch Sicherheitsrisiken, aber die Wahrscheinlichkeit eines sicherheitsrelevanten Fehlers steigt natürlich mit der Anzahl vorhandener Fehler.

Komplexität heutiger Software entsteht nicht weil alle Entwickler es so geil finden, sondern weil man alle möglichen Anforderungen in einem größtmöglichen Sicherheitsaspekt erfüllen möchte, dabei auch noch die Wartbarkeit des Codes und der Anwendung auf einer Benutzerfreundlichen Ebene schaffen möchte.

Dem muss ich widersprechen.
Komplexität von Software entsteht schon immer durch, vor allem, zwei Faktoren:

• der Größe des Projekts und des damit zwangsweise einhergehenden, wachsenden Code-Umfangs (Anforderungen jeder Art sind da zwar Teil davon, am Ende aber nur über eine Korrelation statt einer Kausalität)
• der Neigung von Softwareentwicklern immer an den Grenzen des für sie Machbaren zu entwickeln. (also eben schon "weils Geil" is.)
  (Hierzu meine Empfehlung: Das nützlich-unbedenklich Spektrum von Fefe auf dem 35c3.)

Der Einfluss des Ziels der Wartbarkeit dagegen ist hier nicht ganz klar kategorisierbar.
Wartbarkeit erreicht man z.B. durch Reduzierung oder im Vornherein durch Geringhalten der Komplexität. Geschieht es aber z.B. in Form von Refactoring, kann es auch die Komplexität erhöhen, da das oft mit mehr Code einhergeht.

 

[new Account()]

Und die sagt nun Mal: Je mehr Code, desto mehr Fehler.

Nicht die Fehler, sondern die Wahrscheinlichkeit von Fehlern steigt.

Es sind natürlich nicht alle Fehler gleich auch Sicherheitsrisiken, aber die Wahrscheinlichkeit eines sicherheitsrelevanten Fehlers steigt natürlich mit der Anzahl vorhandener Fehler.

Eine Wahrscheinlichkeit die auf einer Wahrscheinlichkeit basiert. Nichts, wo man eindeutige Aussagen treffen kann.
Wenn du zwei Codestücke gleicher Qualität hast, die das gleiche machen: Id.R. das einfachere nehmen.

Hier hast aber auf der einen Seite eine Einzelanfertigung, und auf der anderen Seite ein dediziertes Framework, das viel genutzt wird und in welches viel Aufwand in Maintainance (und auch das Finden von Sicherheitslücken) fließt. Wahrscheinlich mit mehr KnowHow als ayngush bieten kann.

Imho ist es also durchaus denkbar, dass das die Komplexität dadurch wettgemacht wird.

 

[AW4]

Hier hast aber auf der einen Seite eine Einzelanfertigung, und auf der anderen Seite ein dediziertes Framework, das viel genutzt wird und in welches viel Aufwand in Maintainance (und auch das Finden von Sicherheitslücken) fließt. Wahrscheinlich mit mehr KnowHow als ayngush bieten kann.

Imho ist es also durchaus denkbar, dass das die Komplexität dadurch wettgemacht wird.

Sehr guter Einwand.
Am Ende ist das Thema selbst, wie immer, Komplex...
Denn breite Nutzung heißt in diesem Fall auch viel (Weiter-)Entwicklung gegenüber, wahrscheinlich mehr oder minder Stillstand bei ayngush.
Kann gut sein, dass das das Maintainance-Team wett macht, oder aber eben auch nicht.
Am Ende fehlt in diesen Betrachtungen auch jeglicher Einbezug von PlugIns, Eigenentwicklungen und evtl. Anpassungen.

Wenn ich persönlich die Wahl habe, wähle ich das kleinere Projekt, das meine Anforderungen erfüllt und ich selbst überschauen kann oder eben das aktiv gepflegte OpenSource-Projekt, das entweder nicht zu klein ist oder aber von mir verstanden werden kann.

Im Idealfall häng ich aber am liebsten erst gar nicht am Internet...

 

[[n]ARC]

@AW4 dem kann ich nur zum Teil zustimmen, das meiste hat mir @new Account() schon vorweggenommen. Wir sprechen hier von Wahrscheinlichkeiten und es ist nun mal wahrscheinlicher, dass sich 1 Schaf mehr irren kann als 100, beim maintainen, weiterentwickeln oder bereinigen von legacy code. Das impliziert wieder rum auch die security eines codes, das 4-Augen-Prinzip existiert ja nicht um sonst, wenn wir es nun auf eine große OpenSource community spreaden... ich hoffe du verstehst was ich damit meine.

Es hat nichts damit zutun ob ich Drupal oder ein X-beliebiges System mag, es sind A. Erfahrungswerte (über 25 Jahre) und B. nun mal aktuelle Statistiken anhand von Anforderungen. Wie ich schon sagte, es wurde keine einzige meiner Fragen von @ayngush beantwortet, stattdessen wird pauschal gesagt, dass Drupal und noch andere Systeme scheiße sind und er sich nur auf seinen Code verlässt. Da sind weder die Anforderungen bekannt, noch die Verbreitung, noch in welchen Segment seine Anwendungen eingesetzt werden. Wenn es ein Intranet im eigenen 192.168.1.x LAN ist, welches die Anwendung was auch immer tut, dann ist es total Banane was man da einsetzt, auch wenn es Sicherheitslücken beinhaltet. Wenn ich aber lese:

...Ist aber auch noch viel Legacy Code dabei. Neu würde ich das anders aufziehen.
Gerade im Umgang mit Kundendaten vertraue ich nur meiner eigenen Entwicklung, Magento zum Beispiel ist doch am laufenden Band kaputt. Genau so wie Drupal, Typo3 und Wordpress...

... also legacy code ist ok, weil es meiner ist, alle anderen arbeiten mit aktuellen TEchnologien, das ist aber Mist. Genau das ist mir wirklich sauer aufgestoßen, daher auch die von mir provokante festgestellte Aussage, das er sich maßlos überschätzt.

Halten wir also fest, jede Anwendung, selbst wenn es ein ferngesteuertes Bobbycar ist, muss den Anforderungen entsprechen ausgewählt werden. Will ich einen OnePager als Webseite, reicht vermutlich eine HTML-Seite mit etwas CSS, bohrt man mehr auf, nimmt man Wordpress, Drupal oder Grav (cooles System ohne Datenbank auf Symphony-Basis), also es ist alles Anfoderungs basiert.

Man kann alles vom Scretch entwickleln und hoffen, dass man die Weißheit mit Löffeln gegessen hat, oder eben ein Framework nehmen, bei dem es wahrscheinlicher ist Fehler zu vermeiden, Anfoderungen zu erfüllen, das ganze wartbar zu haben und zudem auch auf aktueller Technologie. Sonst könnten wir ja weiterhin PHP 3.x nutzen, lief ja genau so, also wozu dieses PHP 8.x...usw.