تطوير ‎Spring Boot‎ في الإمارات

عن تطوير ‎Spring Boot‎

Spring Boot هو ما تبني عليه فرق المؤسسات خدمات Java اليوم، ونستخدمه لخدمات مستقلة النشر مقسّمة وفق حدود الأعمال الحقيقية لا وفق حدود تقنية مصطنعة، على Spring Boot 3 وإصدار Java ذي الدعم طويل الأمد، 17 أو 21. هذه خدمة أضفناها حديثاً ونقولها صراحةً: نتولاها بمهندسين ذوي خبرة وبالانضباط نفسه الذي نطبقه على كل بناء وبالانضباط نفسه الذي نطبقه على كل بناء، اختبارات فعلية وتكامل مستمر، لا تجربة تعلّم على حسابكم. قابلية الرصد جزء من البناء: فحوص حالة الخدمة عبر Actuator ومقاييس Micrometer تعمل منذ أول نشر لا بعد أول عطل.

ما الذي يشمله التعاقد

• خدمات مصغّرة مستقلة النشر مع اكتشاف الخدمات والإعداد المركزي وفحوص حالة الخدمة، ولا نضيف Spring Cloud إلا حين يبرر حجم النظام وجوده
• مصادقة وصلاحيات عبر Spring Security: JWT أو جلسات، ونماذج أدوار وOAuth2 عند الحاجة
• معالجة دفعية ومهام مجدولة عبر Spring Batch للتسويات والتقارير وترحيل البيانات
• القرار الذي يقع عليكم: تقسيم النظام إلى خدمات، أم إبقاؤه نظاماً أحادياً وفصل الأجزاء التي تحتاج التوسع وحدها

خدمات Spring Boot لشركة في مركز دبي المالي العالمي أو سوق أبوظبي العالمي

المناطق الحرة المالية في الدولة لها أنظمة حماية بيانات مستقلة، والخدمات المصغّرة تضاعف عدد المواضع التي يمسّها هذا النظام. في مركز دبي المالي العالمي، يجيز قانون حماية البيانات رقم 5 لسنة 2020 نقل البيانات الشخصية من المركز إلى دولة أخرى في حالتين أساسيتين: أن يكون المفوض قد قرر أن تلك الدولة توفر مستوى حماية كافياً، وفق المادة 26 وما يصدره من لوائح بذلك، أو أن تُوفَّر ضمانات مناسبة وفق المادة 27، كالبنود النموذجية لحماية البيانات التي يعتمدها المفوض، مع استثناءات محددة غير ذلك. ومنظومة Spring Boot يطوّرها فريق في الهند ويشغّلها أو يصحح أعطالها من هناك تطرح هذا السؤال عند كل خدمة لا مرة واحدة للنظام: أي الخدمات تحمل بيانات شخصية، وأي مواضيع Kafka تمر فيها تلك البيانات، ومن يصل إلى قاعدة كل خدمة ومن أين. لذلك نقترح أن تُرسم هذه الخريطة قبل تقسيم النظام إلى خدمات لا بعده، لأن الخدمة التي لا تحمل بيانات شخصية يمكن تطويرها وتشغيلها من أي مكان، والتي تحملها تحتاج أساساً للنقل يحدده مستشاركم قبل أن يحصل أي مهندس خارج الدولة على صلاحية الوصول إليها.

وفي سوق أبوظبي العالمي، تتناول لوائح حماية البيانات لسنة 2021 ما يحدث حين تنتهي المعالجة، وإرشادات مكتب حماية البيانات في السوق تشرحه بوضوح: إذا سقط الأساس القانوني للمعالجة أو مارس صاحب البيانات حقه في المحو، فعلى المتحكم أن يحذف البيانات حذفاً آمناً ونهائياً، أو يجهّلها، أو يخفي هويتها باسم مستعار، أو يشفّرها تشفيراً آمناً، وإن تعذر ذلك كله فعليه أن يضعها «خارج الاستخدام» وأن تكون لديه خطة موثقة لمعالجتها لاحقاً. في نظام أحادي هذا استعلام واحد. في خدمات Spring Boot المصغّرة البيانات نفسها موزعة على قاعدة كل خدمة، وعلى مواضيع Kafka بحسب مدة الاحتفاظ فيها، وعلى ذاكرة التخزين المؤقت، وعلى فهرس البحث، وعلى النسخ الاحتياطية. الحل الذي يصمد أمام هذا حدث محو واحد تنشره خدمة مالكة للهوية وتستهلكه كل خدمة أخرى، مع سجل يثبت أن كل خدمة نفذته، ورسائل حذف (tombstones) في المواضيع المضغوطة، وقرار مكتوب بشأن النسخ الاحتياطية التي لا يمكن تعديلها، وهي الحالة التي وُضع لها خيار «خارج الاستخدام» تحديداً. هذا تصميم يُتفق عليه قبل كتابة أول خدمة، لا مهمة تُضاف حين يصل أول طلب محو.

ويختلف النظامان في توقيت الإخطار بالاختراق. إرشادات سوق أبوظبي العالمي تطلب إخطار المفوض دون تأخير لا مبرر له وخلال 72 ساعة من اكتشاف الاختراق متى كان ذلك ممكناً، مع إمكان تقديم إخطار أولي واستكماله لاحقاً، وقانون مركز دبي المالي العالمي في مادته 41 يطلب الإخطار في أقرب وقت ممكن عملياً ويجيز تقديم المعلومات على مراحل، وفي الحالتين يخطر المعالج المتحكم دون تأخير لا مبرر له. وفي 72 ساعة لا يتسع الوقت لأن يكتشف الفريق أي خدمة سرّبت ماذا. لذلك ينبغي أن يُشترط في منظومة Spring Boot أمران منذ أول نشر. الأول أن نقاط Actuator، وأخطرها heapdump وenv، لا تُكشف خارج شبكة الإدارة، لأن تفريغ الذاكرة يحمل ما كانت الخدمة تعالجه من بيانات وأسرار. والثاني تتبع موزع عبر Micrometer Tracing يربط كل طلب بمسار مروره بين الخدمات، فيمكن عند الحادث تحديد الخدمات والسجلات المتأثرة بالأرقام التقريبية التي يطلبها الإخطار، لا بالتخمين. أما أي النظامين يحكم شركتكم، وما الذي يستوجب الإخطار، فسؤال لمستشاركم القانوني.

كيف نعمل مع العملاء في الإمارات

معظم الشركات التي نعمل معها في الإمارات مسجلة إما في المنطقة الحرة أو في البر الرئيسي، والفرق بينهما يظهر في الفاتورة قبل أن يظهر في أي مكان آخر. نصدر فواتير تحمل الرقم الضريبي ووصفاً واضحاً للخدمة، بحيث تمر من قسم الحسابات دون أسئلة، ونتعامل مع ضريبة القيمة المضافة على الخدمات المستوردة كما هي عليه فعلاً بدلاً من تجاهلها.

الفارق الزمني بيننا وبين دبي وأبوظبي ساعة ونصف فقط، أي أن يوم العمل مشترك بالكامل تقريباً. هذا يعني اجتماعاً أسبوعياً في وقت مناسب للطرفين، ورداً في نفس اليوم وليس في اليوم التالي. خلال شهر رمضان نعدّل مواعيدنا لتناسب ساعات العمل المختصرة لديكم، ونخطط لذلك مسبقاً بدلاً من اكتشافه في منتصف المشروع.

أسئلة يطرحها عملاؤنا في الإمارات

أسواق أخرى نعمل بها