• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

Jak poznat, že je odhad rozpadlý? Když se tým ptá na hodiny místo na rozsah Typickou chybou je snaha o přesné hodinové rozlišení. Agile tým nepotřebuje vědět, že analýrekonstrukce koupelny krok za krokem zabere 8 hodin a implementace 16. Potřebuje znát relativní složitost a závislosti. Používejte proto story pointy nebo ideální dny, ale vždy ve vztahu k celému příběhu. Rozdělte odhad na tři části – analýzu, implementaci a testování – ale každou z nich ohodnoťte jako součást celku. Když analytická část zabere 30 % odhadu, zeptejte se, proč. Často zjistíte, že analýza je nadhodnocená kvůli nejasným požadavkům.

SQL injection patří mezi nejzávažnější zranitelnosti webových aplikací. Útočník do vstupního pole, URL parametru nebo hlavičky požadavku vloží SQL příkaz, který se provede na databázovém serveru. Pokud aplikace neověřuje uživatelský vstup a přímo jej spojuje s dotazem, může útočník číst citlivá data, měnit je nebo je úplně smazat. Typickým příkladem je přihlašovací formulář, kde místo hesla zadáte výraz jako ' OR '1'='1. Tím se podmínka vždy vyhodnotí jako pravdivá a útočník získá přístup bez znalosti hesla.

Školení vývojářů je často opomíjenou součástí bezpečnosti. If you beloved this posting and you would like to receive a lot more facts with regards to koukněte sem kindly stop by our own web site. I když máte dokonalé technické zabezpečení, lidská chyba v podobě neopatrného spojení řetězců s databázovým dotazem může vše zhatit. Proto pravidelně proškolte tým na principy bezpečného programování, provádějte code review a používejte automatické nástroje pro testování zranitelností. Pamatujte, že SQL injection není problémem minulosti – objevuje se i úložné prostory v malém bytě nových aplikacích, pokud vývojář nedodržuje základní postupy. Investice do prevence se vždy vyplatí.

Přechod na ES6+ není otázkou přepisu celé kódové základny, ale spíše postupného osvojování si nových vzorů. Začněte u funkcí, které používáte denně: nahraďte anonymní funkce v callbackách, přidejte výchozí hodnoty parametrů a destrukci pro zpracování dat z API. Tyto tři kroky vám okamžitě zkrátí kód a zvýší jeho čitelnost. Když narazíte na problém, nepřeskakujte na nejnovější syntaxi bez rozmyslu – nejprve si ověřte, zda arrow funkce skutečně dává smysl v daném kontextu. Jakmile si osvojíte tyto základy, budete se moci pustit do pokročilejších funkcí, jako jsou třídy nebo moduly, ale i ty staví na stejných principech.

Dalším častým pochybením je používání databázového účtu s nadměrnými právy. Pokud aplikace běží s uživatelem, který má práva na mazání tabulek nebo změnu schématu, útočník může napáchat mnohem větší škodu. Vytvořte pro aplikaci samostatný účet, který má pouze nezbytná oprávnění – obvykle SELECT, INSERT, UPDATE, DELETE na konkrétní tabulky. Zvlášť nebezpečné jsou účty s právy na uložené procedury nebo na správu uživatelů. Pokud útočník získá přístup k databázi přes aplikaci, měl by mít jen omezený prostor pro pohyb.

Prvním krokem k ochraně je použití parametrizovaných dotazů. Většina moderních jazyků a frameworků nabízí připravené dotazy, které oddělují SQL syntaxi od dat. Například v PHP s PDO použijte prepare() a bindParam(), v Pythonu s psycopg2 zase %s zástupné znaky. Tím se uživatelský vstup nikdy nestane součástí SQL příkazu, ale je předán jako hodnota. Vyhnete se tak ručnímu escapování, které je náchylné na chyby a v některých případech nedostatečné.

Destrukce a rest operátor: čitelnější data i volání funkcí Destrukce objektů a polí umožňuje rozbalit data do samostatných proměnných jediným příkazem. Místo const name = user.name pro každou vlastnost napíšete const name, age = user. To zkracuje kód a hlavně zpřehledňuje, která data funkce skutečně potřebuje. Ale pozor na chybu: pokud destrukujete neexistující vlastnost, dostanete undefined, což může vést k nenápadným chybám. Vždy proto zvažte výchozí hodnoty: const name = 'Neznámý' = user. U polí zase oceníte rest operátor, který vám umožní vzít prvky od určitého indexu dál: const [prvni, ...zbytek] = pole. Tento zápis je výborný pro práci s proměnným počtem argumentů funkcí.

Při psaní tvrzení používejte nejkonkrétnější možnou variantu. Místo obecného Assert.IsTrue použijte Assert.That s odpovídajícím constrainem, jako je Is.EqualTo nebo Does.Contain. To nejen zpřesní hlášení o selhání, ale také pomůže při údržbě. Když test selže, hned vidíte, co se očekávalo a co přišlo. Vyhnete se tak zdlouhavému ladění a hledání v logách.

Pokud si nejste jisti, přičtěte na konec rezervu 20–30 procent. Není to známka neschopnosti, ale ochrany před nepředvídatelnými komplikacemi. Vyhnete se tím stresu a slibům, které nemůžete dodržet. Pamatujte, že přesný odhad neexistuje, ale dobrý odhad je takový, který zahrnuje i to, co není vidět na první pohled. Vyplatí se proto pár minut navíc na rozmyšlenou, než začnete slibovat termín.