Ну, было бы неплохо, для начала, выработать какие-то критерии
Потому что, что для одного навороченное убожество, для другого просто небольшая помеха - в конечном итоге, любой CI это транслятор декларативного описания императивных шагов в словечки в stdout и stderr и коды возврата
Не офигеть какая сложная штука, если не приделывать к ней eDSL на базе груви

(Впрочем, и тогда не офигеть какая сложная, просто дурная)

> Далее — встают вопросы, о которых ты пишешь: что дают те или иные этапы в пайплайне, особенно эзотерические типа security check. И по этим эзотерическим темам интересен применимый хоть сколько-то массово практический опыт.

В security checks нет ничего эзотерического (как я выше сказал - они не работают), просто требуется время и усидчивость, а рынок от нас ждет непрерывной поставки, а не времени и усидчивости - вот и возникает классический double bind

Понятно, что до security scans люди добираются в последнюю очередь, и я видел большие организации уровня зрелости "мы тут купили какой-то сесурити сканер и заказали пентест"

Нуууу ээээ кул
Они на верном пути!

А теперь рынок хочет толпу сре, которые и бэк разработают, и трейсинг настроят, и с инцидентами разберутся

за з\п которую раньше платили админу

Пока ещё не хочет

Каман мы начали забывать про инженеров и разрабов

"Разбираться с инцидентами" - это не офигеть какая сложная сложность

причем трейсинг никому не нужен особо

разработку бэка разве кто-то ожидает?

Потому что никаких действительно хороших секьюрити практик нет

и рефакторинг кода перед выкладкой на прод

Пока нет, кек
Зато с девопсов уже скалу хотят

Точнее - никаких формально хороших нет, действительно хорошие есть, я могу их все перечислить

почему нет, вон сегодня в девопс джобсе уже хотели же

Да, я все это к чему - если вы хотите сесурити практишнера послушать, послушайте меня, у меня, наверное, через месяцок уже будет материал на доклад

Ну а что делать. Ты знаешь где я работаю. Вот как ещё этой конторе добавить уверенности, что сервис секурный и деньги в безопасности?

Пусть кодеры разгребают свои мешки без комментов, зачем на инженеров то их валить