Een inschatting maken van een inlogfunctie

Verhalen over inloggen krijgen bijna nooit een 3, maar er is altijd wel iemand die een 3 geeft.

“Inlogfunctie toevoegen” lijkt een klein project, omdat iedereen in de zaal al eens eerder een inlogfunctie heeft geïmplementeerd, voor een ander product, waarbij toen al andere beslissingen waren genomen. De reikwijdte die u zich herinnert, is die van de vorige keer, niet de reikwijdte waarmee u nu aan de slag gaat. Het verhaal klinkt als een bekend verhaal, totdat iemand een van de onderstaande vragen stelt, en dan is dat ineens niet meer zo.

Het probleem is niet dat het inloggen moeilijk is. Het probleem is dat de discussie wordt afgerond voordat de afwegingen duidelijk worden. Backend-ontwikkelaars baseren zich op „we hebben hiervoor een bibliotheek”. Productmanagers baseren zich op de schermafbeelding van het ideale scenario. Degene die het systeem onlangs daadwerkelijk heeft gebouwd, is degene die de valse consensus doorbreekt, meestal met een vraag die niet op het ticket stond.

Wat er in de kamer wordt gezegd

Backend: “Het is gewoon JWT, we beschikken over de bibliotheek.”

Beveiliging: “Het opnieuw instellen van een wachtwoord is niet ‘alleen maar JWT’.”

Premier: “Hebben wij 2FA vanaf de eerste dag nodig, of is dat een volgende stap?”

Frontend: “Gaan we samenwerken met Google en Apple, of ontwikkelen we onze eigen oplossing?”

SRE: “Wat is de rate limit voor het inlog-eindpunt?”

Vragen die het waard zijn om te stellen voordat u gaat stemmen

• Bestaat er een procedure voor het opnieuw instellen van wachtwoorden, en wie is verantwoordelijk voor het e-mailsjabloon?
• Gefederateerde identiteitsverificatie (Google, Apple, SSO) of uitsluitend gebruikersnaam en wachtwoord?
• Sessieopslag: JWT, serversessie, beide, vernieuwingstokens?
• Rate limiting en accountvergrendeling op het inlog-eindpunt?
• Valt 2FA nu al onder het toepassingsgebied, of is er bewust gekozen voor „later“?
• Wordt er een logboek bijgehouden van mislukte pogingen?

De meeste van deze antwoorden zijn ofwel „triviaal”, ofwel „dat is een apart onderwerp”. Tel het tweede soort. Als er twee of meer zijn, hebt u nog geen verhaal: u hebt een kandidaat voor splitting, en de 3 waarop u op het punt stond te stemmen meet het verkeerde.

Als uw team bij het inloggen met 3 stemmen stemt, heeft het gesprek nog niet plaatsgevonden. Stuur het dan terug.

Zie ook: veelvoorkomende fouten bij planning poker behandelt wat er tijdens de sessie mis kan gaan; hoe u een sessie organiseert beschrijft de vierfasige cyclus. Bekijk de andere praktijkvoorbeelden van schattingen, of start een gratis planning poker-sessie en doorloop dit verhaal stap voor stap.