• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

První kontakt s unit testy může působit jako další vrstva složitosti, kterou si projekt nezaslouží. Přitom jde o jednoduchý nástroj, který vám ušetří hodiny ladění. Než rekonstrukce koupelny krok za krokemčnete psát, ujasněte si, co přesně testujete. Ideální je jediná funkce nebo metoda, která má jasný vstup a očekávaný výstup. Pokud testujete hned celou třídu s vedlejšími efekty, brzy narazíte na problémy se stavem aplikace.

Na závěr si ověřte, že vaše knihovna pro JWT je aktuální a bez známých zranitelností. Používejte dobře prověřené implementace a vyhněte se psaní vlastní logiky pro podpis. Pravidelně aktualizujte závislosti a sledujte bezpečnostní doporučení. Testujte negativní scénáře: token s pozměněným podpisem, token s prošlou expirací, token s chybným algoritmem, token s nesprávnou audiencí. Jen tak odhalíte chyby dřív, než je zneužije útočník.

Životní cyklus tokenu a jeho expirace JWT token by měl mít krátkou dobu platnosti, typicky minuty až hodiny, ne dny. Dlouhá expirace zvyšuje riziko zneužití, pokud token unikne. Pro prodloužení přístupu používejte refresh tokeny, které jsou uložené na serveru, http://racist.wiki/ mají delší platnost a lze je odvolat. Při každém obnovení přístupového tokenu ověřte, že refresh token je stále platný a že uživatel má stále oprávnění. Nikdy neposílejte token v URL, protože se může zalogovat do historie prohlížeče nebo proxy serveru. Používejte hlavičku Authorization s formátem 'Bearer '.

Destrukturalizace a šíření – praktičtější přístup Destrukturalizace a operátor šíření (spread) nejsou jen syntaktický cukr. Umožňují psát čistší a čitelnější kód. Místo `const x = obj.x; const y = obj.y;` použijete `const x, y = obj;`. Při práci s poli zase snadno zkopírujete nebo sloučíte hodnoty pomocí `[...arr1, ...arr2]`. Here is more on Wiki.Tryzna.De stop by the web page. Typickou chybou je zaměnit `spread` s `rest` parametrem – spread slouží k rozložení, rest k seskupení do pole. Dejte si pozor na mělkou kopii: spread nekopíruje vnořené objekty, takže změny ve vnořené struktuře ovlivní i původní objekt.

Typickou chybou je nesprávné ověřování podpisu na straně serveru. Vždy ověřte podpis, expiraci, ale i to, že token byl vydán pro vaši API (audience) a že pochází od vás (issuer). Ignorování těchto nároků umožňuje útočníkovi použít token z jiné služby. Také kontrolujte, že token nebyl revokován. Pokud máte požadavek na okamžité odvolání přístupu (např. při změně hesla), musíte mít na serveru seznam zneplatněných tokenů (např. v paměti nebo v databázi). JWT je statický, takže sám o sobě neumožňuje zneplatnění před expirací.

Jednou z nejčastějších chyb rekonstrukce koupelny krok za krokemčátečníků je, že verzují i soubory, které se mění automaticky, nebo že dělají obrovské commity s desítkami změn. Takové uložení je pak nepřehledné a v případě problému se těžko vrací. Mnohem lepší je dělat menší, logicky oddělené commity. Například nejdřív uložíte úpravu HTML, pak samostatně CSS a teprve potom JavaScript. Pokud pracujete na nové funkci, vytvořte si samostatnou větev. Tím se vyhnete tomu, že nehotový kód poškodí stabilní verzi webu, a vy můžete experimentovat bez obav.

Dalším zásadním krokem je správná volba algoritmu podpisu. Pro JWT se běžně používá HMAC SHA-256 (symetrický klíč) nebo RSA/ECDSA (asymetrický klíč). Pokud používáte symetrický klíč, musí být bezpečně uložen na serveru a nikdy nesmí uniknout na klienta. Asymetrické podepisování je vhodnější pro mikroslužby, kdy jedna služba token podepisuje a ostatní pouze ověřují veřejným klíčem. Vždy explicitně nastavte algoritmus a zakažte algoritmus 'none', který umožňuje token bez podpisu. Bez této kontroly může útočník snadno podvrhnout vlastní token.

Při zabezpečení API pomocí JWT tokenů je klíčové pochopit, že samotný token není tajemstvím. JWT je podepsaný JSON objekt, který obsahuje nároky (claims), jako je identifikátor uživatele, role nebo expirace. Nejčastější chybou je vkládat do tokenu citlivé údaje, jako jsou hesla nebo osobní informace, protože token je pouze base64url zakódovaný, nikoli šifrovaný. Útočník, který token získá, si ho může snadno dekódovat a přečíst. Proto do tokenu vkládejte pouze nezbytné údaje a vše ostatní řešte serverovým dotazem do databáze.

Při implementaci si dejte pozor na časová razítka. Čas expirace (exp) a vydání (iat) porovnávejte s aktuálním časem serveru, ne s časem klienta. Pokud se server a klient liší v čase, může dojít k chybnému odmítnutí nebo naopak k přijetí prošlého tokenu. Používejte časové údaje v sekundách od epochy a nezapomeňte na toleranci pro drobné časové rozdíly, ale ne příliš velkou (maximálně pár minut). Vhodné je také ukládat token do paměti prohlížeče (localStorage) a ne do cookies, pokud nechcete řešit ochranu proti CSRF. Při ukládání do cookies nastavte atributy HttpOnly a Secure, aby token nebyl přístupný JavaScriptu.