• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

První velký rozdíl je v hostingu a údržbě. GitHub Actions běží plně v cloudu, takže nemusíte spravovat žádné servery ani runner instance. To oceníte hlavně v malých týmech, kde nikdo nechce trávit čas konfigurací infrastruktury. Na druhou stranu, pokud máte specifické požadavky na hardware, síťové prostředí nebo compliance, budete potřebovat self-hosted runnery. Ty už vyžadují údržbu a zabezpečení – a to je přesně oblast, kde klasické CI servery mají výhodu, protože s nimi máte plnou kontrolu nad prostředím.

Při psaní automatizovaných testů se zaměřte na stabilitu selektorů – tedy způsobů, jak najdete prvky na obrazovce. Používejte jedinečná ID, nikoli texty tlačítek, protože ty se mohou lokalizací změnit. Vyhněte se spánkům v kódu; místo toho čekejte na podmínky, aby testy nebyly zbytečně pomalé a nezřídka padaly. Typická chyba začátečníků je testovat pouze „šťastnou cestu", kdy vše proběhne bez chyby. Přidejte negativní scénáře – špatné heslo, prázdné pole, přerušené připojení. Tyto testy často odhalí více chyb než hlavní tok.

Pokud máte návštěvníky z různých zemí, zvažte použití CDN – sítě, která kopíruje obsah na servery po celém světě. Uživatel tak stahuje data z nejbližšího uzlu, což zkrátí dobu odezvy. Než se ale pustíte do CDN, ověřte si, že váš hosting podporuje potřebné technologie. U malých webů s lokální návštěvností nemusí být CDN přínosné – naopak může přidat zpoždění při komunikaci mezi uzly. Vždy testujte reálný přínos, ne pouze teoretické hodnoty.

Když začnete zabezpečovat API pomocí JWT tokenů, první věc, kterou objevíte, je zdánlivá jednoduchost. Token se vygeneruje, pošle klientovi, ten ho přikládá do hlavičky a server ověří podpis. Jenže právě v té zdánlivé jednoduchosti číhá nejvíc chyb, které celou ochranu rozbijí. Nejde o to, že by JWT bylo špatné řešení, ale o to, jak ho nasadíte. Bezpečnost totiž nekončí u podepsání tokenu, začíná u toho, jak dlouho token žije, co obsahuje a kde ho server ukládá.

Nejčastější díra: algoritmus podpisu Snad nejvíc opomíjené místo je validace algoritmu. Mnoho knihoven umožňuje nastavit algoritmus automaticky podle hlavičky tokenu. To je přesně to, čeho útočníci využívají. Pošlou token s algoritmem „none" nebo „HS256" a server ho přijme, i když měl používat asymetrický podpis. Vždy pevně nastavte, jaký algoritmus očekáváte, a při ověřování zkontrolujte, že se skutečně použil. Nikdy nevěřte hlavičce tokenu. Stejně tak si pohlídejte, odkud token přijímáte. Pokud API voláte jen z vlastní domény, kontrolujte i hodnotu v poli „aud", tedy rady pro rekonstrukci koho je token určen. Bez této kontroly může token vystavený rady pro rekonstrukci jednu aplikaci fungovat i pro jinou.

Při rozdělování času nezapomínejte na režii. Schůzky, code review, opravy chyb, komunikační šum – to vše zabere klidně třetinu sprintu. Pokud naplánujete analytikovi a vývojáři práci na 100 % jejich kapacity, sprint skončí přetížením a nedodělky. Dobrým zvykem je počítat s rezervou 20 až 30 % na neočekávané komplikace. Tato rezerva není známkou neschopnosti, ale zdravého úsudku.

Jak odhadovat, aby analytik netvořil mrtvý dokument Největší pastí je předávání odpovědnosti. Analytik sepíše specifikaci, předá ji vývojáři a jde na další příběh. Vývojář pak zjistí, že mu chybí detaily, a musí analytika obtěžovat znovu. Čas se násobí. Řešením je párová analýza: analytik a vývojář pracují na odhadu společně, a to i na detailech implementace. Analytik se ptá na technická omezení, vývojář na business pravidla. Výsledný odhad pak není součtem dvou samostatných čísel, ale jedním číslem za celý příběh.

Začněte tím, že tokeny nesmí obsahovat citlivá data. JWT je base64 zakódovaný, ne šifrovaný, takže si ho kdokoli může rozebrat a přečíst. Mít úložné prostory v malém bytě payloadu e-mail, roli nebo dokonce heslo je pozvánka k problému. I když je token podepsaný, data v něm vidí každý, kdo se k němu dostane. Pokud potřebujete předávat citlivé údaje, šifrujte payload zvlášť, nebo je přenášejte přes jiný kanál. Typická chyba je také ukládat token do localStorage – jakmile se tam dostane skript třetí strany, má přístup k celé relaci. Mnohem bezpečnější je držet token jen v paměti aplikace, případně v httpOnly cookie, která není dostupná z JavaScriptu.

Po napsání testu ho spusťte a sledujte, že selže, pokud funkci rozbijete. To je důležitý krok, který mnozí přeskočí. Zkuste do funkce dočasně přidat chybu a ověřte, že test skutečně selže. Pak chybu odstraňte. Tím si potvrdíte, že test má smysl. Dále si zvykněte spouštět testy často, ideálně po každé změně. Čím déle odkládáte spuštění, tím těžší je najít příčinu případného selhání. Pokud testy běží dlouho, oddělte rychlé jednotkové testy od pomalých integračních a spouštějte je zvlášť.