Parametrizovaný dotaz, nebo slepé skládání řetězců?

2026-10-01T18:26:59Z

VivienWild: Die Seite wurde neu angelegt: „SQL injection vzniká ve chvíli, kdy se do textu databázového dotazu vkládá vstup od uživatele přímým spojováním řetězců. Útočník pak místo očekávané hodnoty pošle fragment SQL, který změní význam celého dotazu. Nejde přitom jen o přihlašovací formuláře. Zranitelné bývají vyhledávací pole, filtry v administraci, řazení tabulek, stránkování i importy souborů. Stačí jedno místo, kde se hodnota z požadavku ocit…“

SQL injection vzniká ve chvíli, kdy se do textu databázového dotazu vkládá vstup od uživatele přímým spojováním řetězců. Útočník pak místo očekávané hodnoty pošle fragment SQL, který změní význam celého dotazu. Nejde přitom jen o přihlašovací formuláře. Zranitelné bývají vyhledávací pole, filtry v administraci, řazení tabulek, stránkování i importy souborů. Stačí jedno místo, kde se hodnota z požadavku ocitne v dotazu bez oddělení od kódu. Označení „projekty s V" obvykle znamená zakázky, u nichž se na začátku sejde více vlastníků, více vstupů nebo více variant řešení a výsledek má vzniknout jejich spojením. Právě to spojení bývá kámen úrazu. Dokud se pracuje po jednotlivých liniích, jde vše hladce. Jakmile se mají výstupy slít do jednoho celku, objeví se konflikty v datech, v odpovědnostech i v termínech. Vyřešit se to nedá na konci, kdy už je pozdě. Musí se to ošetřit hned na začátku. První pravidlo zní: nikdy nedávejte odhad, dokud nemáte rozsah práce rozložený na jednotlivé kroky. U typických zakázek to jde rychle, u nových věcí ne. U nových věcí místo čísla řekněte, co potřebujete zjistit, abyste číslo vůbec mohli říct. Věta „potřebuji dva dny na analýzu, pak vám dám termín" je pro zákazníka užitečnější než smyšlené datum, které stejně nedodržíte. Zároveň si tím držíte kontrolu nad tím, kdy se zavážete. Pull request jako kontrola, ne jako formali Nakonec počítejte s tím, že spojení přinese práci navíc. Není to selhání, je to součást zadání. Naplánujte na integraci samostatný čas a lidi, kteří se jí budou věnovat. Když ji budete brát jako vedlejší činnost, zdrží se všechno ostatní. Projekty s V se nerozbíjejí na konci, ale v momentě, kdy se poprvé má něco skutečně spojit. Připravte se na to předem a zbytek půjde snáz. Když termín ohrožuje něco, co nemáte pod kontrolou — dodavatel, schválení, data od klienta — pojmenujte to jako podmínku. „Začnu v pondělí, pokud do pátku dostanu podklady. Jinak se start posouvá o stejnou dobu." Tím přesouváte část odpovědnosti tam, kam patří, a zároveň dáváte zákazníkovi jasný signál, co má udělat. Bez takové věty nesete riziko vy, i když je zpoždění objektivně na druhé straně. První praktický krok je pojmenovat, co přesně se má spojit. Nestačí říct, že se „vše propojí". Sepište konkrétní seznam vstupů, výstupů a rozhraní mezi nimi. U každého rozhraní určete, kdo ho vlastní, kdo ho schvaluje a jak se pozná, že je hotové. Tím vznikne mapa, podle níž se dá dělat pořádek. Bez ní se lidé dohadují o pojmech a každý má jinou představu o tom, co je vlastně hotovo. Typická chyba je testovat podporu na vývojovém prostředí s malými daty. Tam všechno běží rychle a spolehlivě. Do produkce se ale dostanou miliony řádků a jiné vzorce přístupu. Před nasazením si proto připravte zátěžový test, který odpovídá reálnému provozu. Zjistíte tak, kde jsou limity – ať už jde o počet připojení, velikost mezipaměti nebo rychlost obnovy po selhání. Pull request není formalita pro manažery, ale místo, kde se chyby zachytí nejlevněji. Piš do něj, co a proč se mění, ne jen „oprava". Uveď, jak se to dá ověřit, a pokud jde o změnu chování, napiš, co se stane při chybě. Recenzent by měl číst diff, ne se ptát, co tam vlastně je. Malý pull request do dvou set řádků se zkontroluje za deset minut, obří za dva dny a stejně se přehlédne. Pokud změna souvisí s jinou, rozděl ji; pokud ne, nespojuj ji jen proto, že to bylo pohodlné. Typická chyba je slibovat optimistickou variantu, protože se bojíte, že delší termín zakázku ztratíte. Opak je pravdou. Zákazník, kterému jste řekli reálný termín a dostali ho včas, se vrací. Zákazník, kterému jste slíbili nereálný a pak ho třikrát posunuli, si najde někoho jiného, i kdyby práce byla kvalitní. Druhá častá chyba je mlčet, když se něco zpozdí. Čím déle čekáte s informací, tím horší je to pro vás i pro vztah. Raději napište hned, že se něco posunulo, než aby se zákazník dozvěděl v den, kdy měl dostat hotové dílo. Důležitá je i otázka, kdo bude podporu ovládat. Pokud s databázemi teprve začínáte, potřebujete řešení s rozumným výchozím nastavením a srozumitelnými výstupy. Naopak zkušený tým ocení možnost zasáhnout do konfigurace a přizpůsobit chování. Nenechte se zlákat tvrzením, že vše zvládne jediné tlačítko. Většina incidentů vzniká v okamžiku, kdy se něco pokazí a není jasné, jak to vrátit zpět. Rozdělte odhad na to, co víte, a co jen tušíte Když už termín dáváte, oddělte v komunikaci dvě věci: dobu, kterou umíte spočítat, a rezervu na to, co se může pokazit. Zákazníkovi to řekněte nahlas. Například: práce zabere deset dní, počítám s pěti dny rezervy na závislosti a nejasnosti, takže říkám patnáct dní. Tím se rezerva nestává tajnou polštářovou, kterou si necháváte pro sebe, ale vysvětlenou součástí odhadu. Zákazník pak lépe pochopí, proč termín není kratší, a vy nemusíte nic skrývat.

Benutzer:VivienWild

2026-10-01T18:26:57Z

VivienWild: Die Seite wurde neu angelegt: „Někdo, kdo dílnou i obývákem se zabývá denně. Sdílím zde, jak skloubit funkčnost s teplem domova. Nejvíc mě baví popisovat postupy krok za krokem.“

Někdo, kdo dílnou i obývákem se zabývá denně. Sdílím zde, jak skloubit funkčnost s teplem domova. Nejvíc mě baví popisovat postupy krok za krokem.

Rettungsdienst-Wiki - Benutzerbeiträge [de]

Parametrizovaný dotaz, nebo slepé skládání řetězců?

Benutzer:VivienWild