Scrum v českých týmech kazí jedna věc, kterou většina ignoruje > 자유게시판

• 목록
• 게시판 리스트 옵션
  • 수정
  • 삭제

Do datové části nikdy neukládejte citlivé údaje. Token bývá jen podepsaný, ne šifrovaný, takže si ho kdokoli může přečíst. Hesla, rodná čísla ani interní klíče tam nepatří. Dbejte také na to, aby nároky byly krátké a jednoznačné, a nastavte limit velikosti tokenu, protože příliš dlouhý token zbytečně zatěžuje každý požadavek. Pravidelně aktualizujte knihovnu pro práci s JWT, protože starší verze mívají známé chyby v ověřování.

Základní dělení, které stojí za to znát, je mezi permisivními a copyleftovými licencemi. Permisivní licence, jako MIT, BSD nebo Apache, vám umožňují kód použít i v uzavřených produktech, pokud zachováte text licence a uvedete autory. Copyleftové licence, typicky GPL, vyžadují, aby odvozené dílo zůstalo pod stejnou licencí. To je zásadní rozdíl: u GPL nemůžete kód uzavřít, ani když jej jen propojíte s vlastním modulem a distribuujete výsledek.

Scrum vypadá na papíře jednoduše: tři role, pět událostí, tři artefakty. V praxi českých vývojářských týmů ale nejčastěji selhává na něčem jiném než na neznalosti rámce. Týmy zavedou standup, sprint review i retrospektivu, ale stejně nedodají, co slíbily, a sprint se promění v tichou dohazovačku termínů. Důvod bývá jeden: nikdo neřekl produktovému vlastníkovi, že jeho práce nekončí sepsáním požadavků.

Typické omyly vznikají z povrchního čtení. Lidé si pletou „open source" s „public domain" a domnívají se, že nemusí nic uvádět. Jiní si myslí, že stačí změnit hlavičku souboru a licence zmizí. Opak je pravdou: autorská práva trvají a licence je pouze podmíněné svolení. Další častá chyba je ignorovat licenci závislostí. Nestačí zkontrolovat licenci svého kódu, musíte projít i všechny knihovny, které do projektu přidáte. Nástroje na kontrolu závislostí vám to usnadní, ale výsledek je třeba číst, ne jen odklikat.

Co hlídat u platnosti a ukládání tokenů Každý token by měl mít krátkou životnost, typicky v řádu minut, a nést nárok „exp" s časem vypršení. Server musí tento čas kontrolovat, ne jen spoléhat na to, že token mezitím vyprší sám. Kromě toho se vyplatí ověřovat „iss" (kdo token vydal) a „aud" (pro koho je určen), aby token z jedné služby nešel použít v jiné. Ukládání tokenu na klientovi je další slabé místo: v prohlížeči je bezpečnější uložit token do cookie s příznaky HttpOnly, Secure a SameSite, protože JavaScript k němu pak nemá přístup. Ukládání do místního úložiště je pohodlné, ale zranitelné vůči útokům typu XSS.

U každé části si napište tři čísla: optimistický, realistický a pesimistický odhad. Do plánu pak neberte průměr, ale spíš realistický scénář posunutý blíž k pesimistickému. Lidé mají přirozenou tendenci být optimističtí, zvlášť když odhad dělají pro někoho jiného. Pokud se odhady liší osvětlení v obývákuíc než dvojnásobně, část je pořád moc velká nebo jí nerozumíte. Rozdělte ji znovu, dokud rozdíl mezi scénáři není menší.

Odhlášení je u JWT složitější, protože token je samostatný a server o něm nemusí nic vědět. Řešením je krátká životnost přístupového tokenu a obnovovací token, který lze odvolat v databázi. Pokud potřebujete okamžité zneplatnění, veďte seznam odvolaných tokenů nebo jejich identifikátorů a kontrolujte ho při každém požadavku. Bez toho zůstane token platný až do vypršení, i když se uživatel odhlásí nebo změní heslo.

Kde B3 selhává v praxi B3 není standardizovaný formát. Každý nástroj, který ho podporuje, si ho často vykládá po svém. To znamená, že soubor, který funguje v jednom editoru, nemusí být správně načten v jiném. Typická chyba je spoléhat na to, že B3 zvládne vnořené struktury nebo speciální znaky. Ve chvíli, kdy do hodnoty vložíte středník, uvozovky nebo nový řádek, začne se výstup rozpadat. Bez jasné specifikace není možné spolehlivě parsovat obsah a každá změna formátu znamená přepisovat všechny nástroje.

Nejčastější chyby se opakují: chybějící kontrola podpisu, povolení algoritmu „none", příliš dlouhá platnost, token v adrese URL a záměna ověření s autorizací. Testujte proto i neplatné a pozměněné tokeny, If you cherished this article and you also would like to obtain more info about Http://ndz.zp.Ua generously visit our site. ne jen ty správné. Ověření, že token je pravý, ještě neznamená, že jeho držitel smí danou operaci provést. Autorizaci vždy řešte zvlášť podle rolí a oprávnění.

Vyberte si jeden malý kus kódu – ideálně čistou funkci, která nic nečte ze souboru, neposílá data po síti a nezávisí na systémovém čase. Pro první test se vyhněte databázi, vláknům a náhodným číslům. Zkuste funkci, která například převádí formát data, počítá daň nebo normalizuje text. Čím méně závislostí, tím snáze napíšete test, který poběží spolehlivě a rychle.