Čistý kód v JavaScriptu: praktický průvodce pro každodenní vývoj

Nakonec si ujasněte, kdy JWT nepoužívat. Pro veřejná API s nízkou citlivostí můžete postačit API klíče, ale pro uživatelská data je JWT vhodný. Nevýhodou je, že token nelze snadno odvolat před vypršením, pokud nezavedete denylistu. Zvažte proto kompromis: krátká platnost, refresh tokeny a případně černá listina pro okamžité zablokování účtu. Správné použití JWT tokenů vyžaduje disciplínu v nastavení, ale po nasazení získáte robustní a škálovatelnou ochranu.

Při samotném psaní zdrojových textů myslete na délku. Česká věta je často delší než anglická, a pokud máte tlačítko s pevnou šířkou, text se ořízne. Vždy testujte, jak se překlad chová v extrémních případech — nejdelší slovo, nejdelší věta, nejdelší číslo s jednotkou. Stejně tak pozor na složené výrazy. V češtině skloňujeme, takže věta „Máte 3 nové zprávy" se nedá jednoduše poskládat z částí „Máte" + číslo + „nové zprávy". Používejte raději celé věty s placeholdery, než abyste spojovali kusy textu podle počtu.

Při práci s debuggerem se nebojte použít breakpointy místo tisku proměnných do konzole. Moderní IDE vám umožní procházet kód řádek po řádku, sledovat hodnoty v reálném čase a podmíněně zastavit běh. To je zvlášť užitečné při hledání logických chyb. Zároveň si dejte pozor na automatické formátování: pokud používáte nástroj jako je Black, nastavte jej tak, aby nesahalo do kódu proti vaší vůli. Je lepší formátovat vědomě než nechat IDE měnit strukturu bez vašeho vědomí, což vede ke zbytečným změnám v repositáři.

Nakonec pamatujte na konzistenci. Zvolte si styl – úvodzovky, středníky, odsazení – a držte se ho v celém projektu. Využijte nástroje, které formátují kód automaticky, a nastavte si lintovací pravidla na začátku projektu. Čistý kód není o dokonalosti, ale o tom, aby se v něm dalo snadno hledat chyby a přidávat nové funkce bez rizika rozbití stávajícího chování.

Nejdřív si ujasněte cíl retrospektivy: není to stížnostní fórum, ale nástroj pro zlepšení procesu. Proto každý bod zpětné vazby musí splňovat tři kritéria – být konkrétní (co přesně se stalo), popisovat dopad (jak to ovlivnilo tým nebo výsledek) a navrhovat akci (co by příště mělo být jinak). Například místo „špatná komunikace" řekněte: „Když jsme v pátek neaktualizovali board, ostatní nevěděli, na čem jsem, a museli jsme řešit duplicitní práci. Navrhuji, aby každý do 15:00 aktualizoval svůj sloupec."

Prakticky implementujte middleware, který token zpracuje. Ten by měl vyjmout token z hlavičky Authorization ve formátu Bearer, ověřit ho a připojit informace o uživateli k požadavku. Vždy řešte chyby pomocí HTTP status kódů – 401 pro neplatný token, 403 pro nedostatečná práva. Vyhněte se logování celých tokenů, stačí logovat ID uživatele a čas platnosti.

Praktický postup: od exportu po ověření konzistence Pro samotný přenos dat použijte nástroj pgloader, který umí číst přímo z MySQL a zapisovat do PostgreSQL. Před spuštěním si připravte cílovou databázi s prázdným schématem – pgloader vytvoří tabulky automaticky, ale výsledné datové typy často nejsou optimální. Po importu proto zkontrolujte definice sloupců a upravte je ručně, zejména pokud jde o číselné typy (MySQL INT vs PostgreSQL INTEGER) nebo dekadická čísla. Pro velké tabulky zvažte rozdělení exportu na menší dávky, abyste předešli přetečení paměti serveru.

Nejčastější chyby, které zabíjejí retrospektivu Největší chybou je skákat rovnou k řešením, aniž by tým pochopil kořen problému. Pokud se opakuje stejné zpoždění, neptejte se „jak to opravíme", ale „proč k tomu dochází" – použijte techniku 5x proč. Druhou častou chybou je absence akčních kroků. Každá retrospektiva musí skončit maximálně třemi konkrétními úkoly, které mají vlastníka a termín. Bez toho je to jen ztráta času. Třetí chybou je, že retrospektiva trvá déle než 45 minut – tým ztratí pozornost a kvalita výstupů klesá.

Při validaci tokenu na serveru vždy kontrolujte tři věci: podpis, expiraci a issuer (kdo token vydal). Ignorování těchto kontrol vede k bezpečnostním děrám. Například pokud neověřujete issuer, útočník může podepsat token vlastním klíčem a vydávat ho za váš. Také si dejte pozor na algoritmus „none", který někteří starší klienti používají – ten musí být na serveru tvrdě zakázán.

Klíčové aspekty a časté chyby Nejprve musíte správně nastavit podepisování. Používejte symetrický algoritmus HMAC-SHA256 pro jednoduché případy, ale pro produkční prostředí zvolte asymetrický RSA, kdy soukromý klíč držíte na serveru a veřejný klíč sdílíte s ověřovacími službami. Ukládejte klíče mimo zdrojový kód, nejlépe do proměnných prostředí nebo tajných trezorů. Nikdy nepodepisujte token s prázdným tajemstvím nebo slabým heslem – to je nejčastější chyba, kterou útočníci zneužívají.