• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

V neposlední řadě pozor na algoritmus podpisu. Knihovny pro JWT někdy umožňují v hlavičce tokenu specifikovat typ algoritmu, což vede ke známému zranitelnosti „algorithm confusion". Pokud server podporuje symetrický i asymetrický podpis, může útočník podepsat token veřejným klíčem, který server považuje za tajný klíč. Tomu se vyhnete tím, že povolíte pouze jeden konkrétní algoritmus, a to nejlépe asymetrický, jako je RS256. Také si pohlídejte, že server nepřijímá tokeny bez podpisu nebo s prázdným podpisem.

Nakonec si ohlídejte i samotné spouštění. Chcete-li, aby workflow běžel i na pull requestech, zapište on: pull_request. Pro nasazení na produkci zase použijte on: push: branches: [main] a kombinujte to s ochranou větve — nikdo by neměl pushovat do main přímo, pokud to není nezbytné. Typická chyba je zapomenout na událost workflow_dispatch, která umožňuje spustit pipeline ručně z UI. Bez ní nemáte možnost si workflow otestovat bez reálného commitu.

Kdy se JWT stává slabým místem místo ochrany? Jednou z nejčastějších chyb je ukládání citlivých údajů do payloadu. JWT je sice podepsaný, ale ne šifrovaný, takže každý, kdo token získá, si může přečíst jeho obsah. Pokud do payloadu vložíte e-mail, roli uživatele nebo dokonce ID relace, vystavujete tato data riziku odposlechu. Místo toho do tokenu patří pouze minimum informací, jako je identifikátor uživatele a čas expirace. Vše ostatní si API může dohledat v databázi podle ID.

Posledním bodem je průběžná údržba a vzdělávání. Aktualizujte databázový server, frameworky a knihovny. Mnoho útoků využívá známé zranitelnosti, které jsou již opravené. Sledujte bezpečnostní zpravodajství a reagujte na nově objevené hrozby. Pravidelně provádějte penetrační testy a code review se zaměřením na vstupy. Učte se z chyb – ať už vlastních, nebo zveřejněných případů jiných firem. Zabezpečení není jednorázová akce, ale neustálý proces. Jen kombinací parametrizovaných dotazů, validace, omezených práv, záloh, monitoringu a aktualizací budete schopni SQL injection účinně čelit.

Typickou chybou je dokumentace, která neodpovídá realitě. Backend se změní a dokumentace zůstane stará. Řešením je propojit dokumentaci s testy, které ověřují, že popis odpovídá chování API. Například můžete mít kontraktní testy, které porovnávají dokumentaci s reálnými odpověďmi. Pokud se změní endpoint, test selže a dokumentace se musí aktualizovat. Tím se zabrání tomu, aby frontend narazil na rozdíl mezi tím, co je napsané, a tím, co API vrací.

Dalším praktickým opatřením je pravidelné zálohování. Zálohy by měly být automatizované a ukládané na jiné místo, než je webový server. Ideálně šifrované a s testovaným obnovením. V případě útoku vám to umožní rychle obnovit provoz bez velkých ztrát. Kromě toho sledujte logy databáze a aplikace. Odchylky, jako jsou neobvyklé dotazy, mnoho chybových hlášení nebo přístupy v neobvyklou dobu, mohou být prvními známkami pokusu o průnik. Včasné odhalení umožní zastavit útok dřív, než dojde k vážným škodám.

První a nejdůležitější zásadou je používat výhradně parametrizované dotazy. To znamená, že se SQL příkaz definuje s placeholdery, do kterých se hodnoty předávají odděleně. Databáze pak nikdy neinterpretuje vstup jako kód, ale jako čistá data. Ať už pracujete s PHP, Java, Python nebo C#, všechny moderní knihovny to podporují. V PHP to jsou PDO nebo mysqli, v Javě PreparedStatement, úložné prostory v malém bytě Pythonu parametrizace v db-api. Vyhněte se jak zařídit malou kuchyniémukoli řetězení řetězců do SQL, i když se to zdá rychlejší a jednodušší. Jediný chybný rekonstrukce koupelny krok za krokem může otevřít dveře útoku.

Základní workflow definujete v YAML souboru ve složce .github/workflows. Stačí tři klíčové sekce: name (název), on (spouštěcí událost) a jobs (jednotlivé úlohy). Nejčastější chybou bývá zapomenout na oprávnění — pokud chcete, aby workflow mohlo pushovat změny zpět do repozitáře, musíte v jobu nastavit permissions: contents: write. Bez toho skončíte u chyby 403 a budete zbytečně hledat problém v kódu.

Nakonec si po každém sprintu vyhodnoťte reálný čas strávený na každé fázi. Nesrovnávejte jen celkový čas s odhadem, ale sledujte, kde se chyba nejvíc projevuje. Často zjistíte, že analýza trvá dvakrát déle, než se čekalo, ale implementace pak trvá polovinu odhadu. To je cenná informace pro příští plánování – a tým přestane přeplňovat sprinty nereálnými čísly. Důležité je, abyste tento postup dělali opakovaně, ne jednou za čtvrt roku. Jen tak se odhady stanou přesnějšími a tým začne plánovat podle skutečných dat, ne podle pocitů.

Začněte tím, že úkol rozdělíte na menší části. Pokud máte naplánovat funkci, rozložte ji na jednotlivé kroky – příprava dat, logika, UI, testy, dokumentace. U každého kroku odhadněte čas zvlášť a poté je sečtěte. Tím získáte přesnější obrázek, protože malé úkoly se odhadují snadněji než velký celek. Vyhnete se také efektu „všeho se týká" – když odhadujete velký balík, máte tendenci ho podhodnotit. Drobné části navíc umožní rychleji identifikovat, kde odhad selhal If you have any issues regarding the place and how to use koukněte sem, you can speak to us at the web-site. .