Diferencias entre lo escrito y lo evaluado

Una revisión por diferencias muestra qué líneas cambiaron en los archivos, y es una buena medida de esfuerzo, pero no de efecto. Una línea idéntica puede evaluarse distinto si otra capa la sobrescribe, si cambia la versión del programa que lee el archivo o si cambia un valor por defecto que no está en ningún archivo. Y un cambio grande de texto puede no mover ningún valor efectivo.

Para un auditor la unidad de comparación es la configuración efectiva: el conjunto de valores que el programa termina usando, junto con el origen de cada uno.

Las configuraciones suelen componerse por capas: un archivo base, una capa por entorno, variables de entorno del proceso y valores por defecto del programa. La capa que se aplica después gana. Leer solo el archivo base da el valor de desarrollo, no el de producción.

La herramienta de configuración efectiva añade una columna con el origen de cada valor, que es lo que permite auditar cuál capa decidió. Compárala con el archivo base.

La especificación de JSON recomienda que los nombres de un objeto sean únicos, pero no obliga: cuando se repiten, el comportamiento depende del analizador, y muchos se quedan con el último. Una persona que lee el archivo de arriba abajo ve primero un valor y asume que es el que rige.

Lo comprobable no es la lectura sino el valor evaluado. Abre el archivo de límites del servicio de pagos y mira qué valor efectivo informa la herramienta.

Las variables de entorno siempre son cadenas. Una variable cuyo valor es el texto false llega al programa como un texto, no como un booleano, y el programa tiene que convertirlo. Si no lo hace, en varios lenguajes un texto no vacío cuenta como verdadero en una condición, y un modo de depuración que se creía apagado queda encendido.

La salida de la herramienta marca el tipo de cada valor, y ahí se ve la diferencia entre lo que se escribió y lo que llegó.

La configuración efectiva incluye valores que nadie escribió: los predeterminados del programa. Son los más difíciles de auditar, porque no aparecen en ninguna revisión de archivos y pueden cambiar con una actualización del programa.

Busca en la salida una clave cuyo origen no sea un archivo ni una variable de entorno.