Sourcecode-Statistik — scm-oauth2-plugin

Dokumentversion: 1.1 · Stand: 17.08.2026 · Softwarestand: scm-oauth2-plugin 1.0.2 Erhebungsbasis: Arbeitskopie des Projektverzeichnisses, letzter Commit vom 10.08.2026

Quantitativer Nachweis über Umfang, Testabdeckung und Dokumentationsgrad der Codebasis. Dient als Belegdokument für die Maßnahmen nach Art. 21 Abs. 2 lit. e und f NIS2 (Compliance-Bericht, Abschnitt 3). Alle Zahlen sind mit den in Abschnitt 8 angegebenen Befehlen reproduzierbar.

1. Umfang auf einen Blick

2. Verteilung nach Bereich

Kommentarquote ohne Lizenzkopf

Jede Java- und TypeScript-Datei trägt einen 15-zeiligen AGPL-Lizenzkopf (66 Dateien = 990 Zeilen). Ohne diesen Pflichtanteil ergibt sich der tatsächliche Dokumentationsgrad:

Der Produktivcode ist damit auf rund 3 Codezeilen mit 1 Zeile Erläuterung dokumentiert. Alle 40 Java-Typen besitzen Javadoc; von den 71 öffentlichen Membern sind 45 dokumentiert — die verbleibenden sind überwiegend Injektions-Konstruktoren, deren Parameter sich unmittelbar aus den Feldern ergeben. Zusätzlich beschreiben zwei package-info.java die Gesamtarchitektur (180 Zeilen). Bei den Tests trägt der sprechende Methodenname den größten Teil der Dokumentation, ergänzt um je eine Szenario-Beschreibung pro Testklasse.

3. Produktivcode nach Datei

4. Struktur

5. Tests

185 Tests in 17 Klassen, alle grün, keine übersprungen. Verhältnis Testcode zu Produktivcode: 1.929 : 2.513 Zeilen = 0,77 : 1.

Abdeckung der Schutzmaßnahmen: Für jede der 19 im Compliance-Bericht genannten Maßnahmen existiert mindestens ein Test oder eine strukturelle Zusicherung; die sicherheitsnahen Tests machen mit 96 Fällen (TokenVerifierTest, OAuth2AuthenticationResourceTest, JwksClientTest, ForceOAuth2LoginFilterTest, ConfigurationResourceTest, StateStoreTest, JwksProviderTest, AdminGroupSynchronizerTest, UserMigrationTest) rund 52 % der Testfälle aus.

Die Signaturprüfung wird nicht gegen Mocks getestet, sondern gegen echte Signaturen: die Tests erzeugen RSA- und EC-Schlüsselpaare, signieren die Tokens selbst und bauen den JSON Web Key Set dazu nach (TestTokens). Damit sind auch die Angriffsfälle abgedeckt — alg: none, fremder Schlüssel, fremdes Secret, manipulierte Signatur, fremder Aussteller, fremde Audience, abgelaufenes Token, falscher und fehlender Nonce.

6. Abhängigkeiten und Lieferkette

Die leere Laufzeit-Abhängigkeitsliste ist für die Lieferkettensicherheit (Art. 21 Abs. 2 lit. d NIS2) der wesentliche Punkt: das Plugin vergrößert die Angriffsfläche des Kerns nicht um zusätzliche Fremdbibliotheken.

7. Artefakte und Historie

8. Reproduktion der Messung

Alle Zahlen dieses Dokuments entstehen aus der Arbeitskopie. Ausführung im Plugin-Verzeichnis:

# Zeilen je Bereich
find src/main/java -name '*.java' | wc -l
find src/main/java -name '*.java' -exec cat {} + | wc -l

# Klassifikation Code / Kommentar / Leerzeile
find src/main/java -name '*.java' -exec cat {} + | awk '
  BEGIN{code=0;com=0;blank=0;inblock=0}
  {
    line=$0; gsub(/^[ \t]+|[ \t]+$/,"",line);
    if (inblock) { com++; if (line ~ /\*\//) inblock=0; next }
    if (line == "") { blank++; next }
    if (line ~ /^\/\*/) { com++; if (line !~ /\*\//) inblock=1; next }
    if (line ~ /^\/\//) { com++; next }
    if (line ~ /^\*/)  { com++; next }
    code++
  }
  END{printf "code=%d comment=%d blank=%d\n", code, com, blank}'

# Testanzahl und Ergebnis
./gradlew test
grep -h -o 'tests="[0-9]*"' build/test-results/test/*.xml | awk -F'"' '{s+=$2} END {print s}'

# Struktur
grep -rl "@Extension" src/main/java --include='*.java' | grep -v package-info | wc -l
grep -cE "^  private (String|boolean) " src/main/java/de/l9g/scm/oauth2/plugin/OAuth2Configuration.java

# Artefakte
./gradlew smp && ls -lh build/libs/*.smp
./gradlew javadoc -Pstage=release && find docs/javadoc -type f | wc -l

Methodische Hinweise: Die Klassifikation ist zeilenbasiert und ordnet eine Zeile mit Code und nachgestelltem Kommentar dem Code zu; Kommentare innerhalb von Zeichenketten werden nicht erkannt (im vorliegenden Code nicht vorhanden). Generierte Artefakte (build/, node_modules/, docs/javadoc/) sind in den Zeilenzahlen der Abschnitte 1 bis 3 nicht enthalten.

Weiterführend: Prozessbeschreibung · Compliance-Bericht · Datenschutz-Folgenabschätzung