Když tým přestane držet sprinty, začněte u Scrum mastera

Když databáze začne zpomalovat, většina vývojářů sáhne po prvním dostupném nástroji a začne přidávat indexy na všechny sloupce, které je napadnou. Výsledek bývá přesně opačný, než se čekalo: dotazy se nejen nezrychlí, ale celková zátěž serveru vzroste. Každý index totiž něco stojí – zápis do tabulky se prodlouží, If you liked this information and you would like to receive even more information relating to Jak.Mazovia.edu.pl kindly check out the web site. disková paměť se zaplní a optimalizátor se začne rozhodovat hůře, protože má příliš mnoho možností. Než začnete cokoliv měnit, vždy si nejprve změřte, úPrava interiéRu kde skutečně dochází ke zpoždění.

Začněte tím, že tokeny nesmí obsahovat citlivá data. JWT je base64 zakódovaný, ne šifrovaný, takže si ho kdokoli může rozebrat a přečíst. Mít v payloadu e-mail, roli nebo dokonce heslo je pozvánka k problému. I když je token podepsaný, data v něm vidí každý, kdo se k němu dostane. Pokud potřebujete předávat citlivé údaje, šifrujte payload zvlášť, nebo je přenášejte přes jiný kanál. Typická chyba je také ukládat token do localStorage – jakmile se tam dostane skript třetí strany, má přístup k celé relaci. Mnohem bezpečnější je držet token jen v paměti aplikace, http://wiki.philipphudek.de/index.php?title=proč_je_ověření_jwt_tokenů_u_api_nezbytnou_kontrolou? případně v httpOnly cookie, která není dostupná z JavaScriptu.

Největší chybou v testování mobilních aplikací je, že se testuje jen to, co je vidět. Přitom největší problém bývá na pozadí: co se stane, když aplikaci přepnete na pozadí a vrátíte se k ní, když přijde SMS zpráva nebo hovor, když se změní orientace obrazovky. Tyto situace se stávají uživatelům denně, ale vývojáři je často vynechávají. Přidejte si do testovacího plánu sekci „životní cyklus aplikace". Zkuste spustit aplikaci, přepněte ji nábytek na míru pozadí, počkejte deset minut a vraťte se. Sledujte, jestli se neztratí data, jestli se nezobrazí prázdná obrazovka. Podobně otestujte, co se stane, když uživatel aplikaci zavře a znovu otevře – měla by se vrátit do posledního stavu, ne začít znovu od začátku.

Na závěr si rozmyslete, zda chcete požadovat uvedení autora v poděkování nebo v dokumentaci. Tento požadavek je běžný u licencí jako BSD nebo MIT, ale může být pro některé uživatele nepříjemný. Pokud chcete maximální volnost, vyberte licenci bez této podmínky, například CC0 pro obsah. Ať už zvolíte cokoli, mějte na paměti, že licence se nedá snadno změnit, jakmile projekt začnou používat další lidé. Jeden špatný krok na začátku může znamenat, že váš kód skončí v projektu, se kterým nesouhlasíte, nebo že ho nikdo nebude chtít použít. Proto si dejte na výběru záležet.

Než začnete se Scrumem, pochopte jednu věc: není to procesní dogma, ale nástroj pro odhalování problémů. České týmy často skočí na ceremonie bez hlubšího záměru – daily stojí patnáct minut, ale nikdo neřeší blokátory. Přitom klíčové je nastavit si definici hotovo tak, aby byla měřitelná a sdílená. Začněte u tří rolí, tří artefaktů a pěti událostí. Neřešte nástroje, řešte interakce.

Testování není jen o hledání chyb. Je to způsob, jak zjistit, jestli aplikace dává smysl. Když najdete bug, zapište si přesně, co jste dělali, jaké mělo zařízení, jakou verzi systému a jaké data byla v aplikaci. Bez těchto informací se vývojář bude jen hádat. A když je to možné, testujte s uživatelem, který aplikaci nezná. Uvidíte, co ho zarazí, co hledá a kde se ztrácí. Tato zpětná vazba je často cennější než sebelepší testovací nástroj.

Další kritický bod je expirace. Token, který nikdy nevyprší, je časovaná bomba. Pokud ho útočník získá, má neomezený přístup. Nastavte proto krátkou životnost – v řádu minut, ne hodin. Ale pozor, příliš krátká expirace zase znamená, že se klient musí často znovu přihlašovat. Řešením jsou refresh tokeny: jeden krátkodobý přístupový token a jeden dlouhodobý obnovovací. Refresh token skladujte odděleně, ideálně na serveru, a při každém použití ověřte, jestli nebyl odvolán. Nezapomínejte ho také rotovat – při každém obnovení vystavte nový a starý zneplatněte. To zabrání tomu, aby ukradený refresh token fungoval pořád dokola.

Při tvorbě workflowů pozor na oprávnění. GitHub Actions běží s implicitními právy, která mohou být širší, než potřebujete. Pokud pipeline jen testuje, nepotřebuje právo na zápis do repozitáře. Nastavte si proto minimální oprávnění v sekci permissions – snížíte tím riziko, že útočník přes kompromitovanou akci získá přístup k vašemu kódu. Stejně tak si dejte pozor na použití secrets. Nikdy je neukládejte přímo do YAML souboru a vždy je odkazujte přes GitHub Secrets. A pokud používáte self-hosted runnery, nikdy na nich nespouštějte workflow z nepřátelských forků bez izolace – to je častý bezpečnostní průšvih.