SQL injection vs. bezpečný kód: kde vzniká chyba? > 자유게시판

• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

Začněte tím, že si úkol rozdělíte na fáze, ne na dílčí úkoly. Většina vývojářů odhaduje psaní kódu, ale zapomíná na nastavení lokálního prostředí, konfiguraci závislostí, migrace dat nebo ladění testů. Při odhadu si projděte každou fázi a zeptejte se: co musí existovat, než tuto fázi začnu? Co se stane, když data nebudou odpovídat předpokladům? Tyto otázky odhalí činnosti, které nejsou součástí zadání, ale bez nichž se úkol neobejde.

Než začnete psát první test, ověřte si, jakou verzi protokolu API používáte. Nejčastější chybou je předpoklad, že vše běží přes JSON s hlavičkou application/json. Starší služby ale mohou vyžadovat XML, formát formulářových dat nebo specifický API klíč v hlavičce. Otevřete si dokumentaci, najděte sekci s příklady požadavků, a teprve poté přejděte do Postmana. Klíčové je také správně nastavit prostředí – nepište adresy přímo do kolekce, ale použijte proměnné. Ušetříte si hodiny práce při přepínání mezi testovacím a produkčním prostředím.

Útok typu SQL injection patří mezi nejstarší a zároveň nejzákeřnější techniky napadení webových aplikací. Jeho podstata je jednoduchá: útočník vloží do vstupního pole (například přihlašovacího formuláře) místo očekávaných dat kus SQL příkazu. Pokud aplikace takový vstup bez kontroly zřetězí do dotazu do databáze, může útočník získat přístup k datům, která neměl nikdy vidět – hesla, platební údaje, osobní informace. Nebezpečí nespočívá v tom, že by databáze byla špatně nakonfigurovaná, ale v tom, že vývojář důvěřuje uživatelskému vstupu.

Pamatujte, že optimalizace je iterativní proces. Nejdřív změříte, pak změníte, a znovu změříte. Někdy se stane, že navrhnete index, který se zdá ideální, ale databázový plánovač ho stejně nepoužije. Důvodem může být to, že data nejsou dostatečně selektivní. Pokud sloupec obsahuje jen pár různých hodnot, index nepomůže. V takovém případě je lepší zaměřit se na jinou část dotazu nebo na změnu datového typu. Až budete mít pocit, že je dotaz rychlý, porovnejte jeho výkon před a po úpravě, abyste měli jistotu, že jste skutečně dosáhli zlepšení.

Velmi praktickou radou pro každodenní práci je osvojit si princip mobile-first. Místo abyste nejdřív navrhovali pro širokou obrazovku a poté složitě skrývali prvky pro mobil, začněte od nejmenšího rozlišení. Znamená to, že základní styly píšete rady pro rekonstrukci jeden sloupec a postupně přidáváte media queries, které rozvržení rozšiřují. Tento postup snižuje množství kódu a vede k čistšímu výsledku. Méně CSS znamená méně chyb a rychlejší načítání. Navíc vás nutí přemýšlet o tom, co je skutečně podstatné, a odstranit zbytečné prvky, které na mobilu stejně nikdo nevyužije.

Nakonec si osvojte zvyk kontrolovat své UI v prohlížeči pomocí vývojářských nástrojů. Zkuste si uměle zmenšit okno, otevřít stránku v různých velikostech písma nebo simulovat pomalé připojení. Klidně si vytvořte sadu testovacích textů a vkládejte je do všech nadpisů a popisků. Tím odhalíte největší slabiny dřív, než je uvidí uživatel. Dobré UI není o tom, aby vypadalo pěkně na obrázku, ale aby fungovalo v reálných situacích – a to je přesně oblast, kde se osvětlení v obývákuývojář může odlišit od pouhého „překladače designu do kódu".

Když už máte funkční požadavek, uložte si ho do kolekce. Kolekce umožňují seskupit související testy a spouštět je najednou přes Collection Runner. Před spuštěním si ale zkontrolujte pořadí požadavků – pokud testujete CRUD, musíte nejprve vytvořit záznam, pak ho přečíst, upravit a smazat. Bez správného pořadí narazíte na chyby, které plynou z nesplněných závislostí. V tomto ohledu se vyplatí používat proměnné, které si mezi požadavky předávají ID vytvořeného objektu.

Když jako vývojář přebíráte hotový návrh od designéra, většinou to vypadá jasně. Ale jakmile začnete řešit responsivní chování, stavy tlačítek nebo přetékající text, zjistíte, že původní předloha nepočítala s reálnými daty. A právě tady vzniká nejčastější chyba: berete design jako neměnnou šablonu a snažíte se do ní vměstnat obsah za každou cenu. Přitom základem dobrého UI je flexibilní systém, který se přizpůsobí obsahu, ne naopak. Začněte proto tím, že si při vývoji definujete minimální a maximální délky textů, které se v daném prvku mohou objevit, a otestujete je.

Typickou pastí, do které začátečníci spadají, je testování implementačních detailů místo chování. Když testujete, že funkce volá jinou funkci s určitými argumenty, svážete test s vnitřní strukturou kódu. Jakmile změníte implementaci, byť jen drobně, test selže, přestože funkce stále funguje správně. Mnohem robustnější je testovat výstup a vedlejší efekty – tedy to, co volající skutečně vidí. Například místo kontroly, že funkce ukládacího modulu volá metodu save, raději ověřte, že se soubor vytvoří s očekávaným obsahem. Tento přístup vám umožní později měnit vnitřní strukturu bez nutnosti přepisovat testy.