Když se k jedné změně vracíš za půl roku, rozhoduje zpráva commitu > 자유게시판

Ptejte se na režim provozu, ne jen na seznam funkc

SQL injection vzniká ve chvíli, kdy aplikace slepí dotaz z řetězců, do kterých se dostane vstup od uživatele. Útočník pak místo očekávané hodnoty pošle fragment SQL a databáze ho vykoná jako součást příkazu. Nejde o okrajovou chybu, ale o důsledek špatné konstrukce dotazu. Pokud se vstup neověřuje a dotaz se skládá ručně, stačí jediné pole formuláře nebo parametr v adrese.

Escapování znaků samo o sobě nestačí. Různé znakové sady a kontexty mohou ověření obejít, zvláště pokud se zapomene nastavit správné kódování připojení. Spoléhat na to, že útočník nepoužije diakritiku nebo jiný zápis, je riskantní. Parametrizace řeší problém u zdroje, escapování jen zakrývá příznaky.

Základní kostra dokumentu se skládá z hlavičky a těla. V hlavičce je , titulek stránky a odkaz na externí styl. V těle je samotný obsah. Externí soubor s příponou .css je lepší než styl psaný přímo do značek, protože se dá použít na více stránkách a snadno se mění. Na rekonstrukce koupelny krok za krokemčátek souboru patří reset nebo alespoň box-sizing: border-box, aby se šířky a výšky počítaly včetně paddingu a okrajů. Bez toho se prvky rozjíždějí.

Ověřujte také oprávnění databázového účtu. Aplikace nemá používat účet s právy správce. Pokud útočník pronikne do dotazu, má mít možnost číst a měnit jen to, co nezbytně potřebuje. Oddělené účty pro čtení a zápis snižují dopad případného průniku. Zálohy a logy pak pomohou zjistit, co se stalo.

Prvním krokem k nápravě je přestat skládat dotazy pomocí konkatenace. Místo toho použijte parametrizované dotazy nebo prepared statements. Hodnoty se předávají jako parametry a databázový engine je nikdy nevykoná jako SQL kód. To platí pro všechny typy databází i jazyky. Pokud knihovna podporuje vázané parametry, je to vždy bezpečnější cesta než ruční escapování.

Typické chyby vznikají z pohodlnosti. První je zpráva typu „fix", „wip" nebo „update", ze které se nedozvíš nic. Druhá je hromadný commit, kde se míchá oprava chyby, refaktoring a nová funkce — takový commit se nedá vrátit ani prozkoumat po částech. Třetí je popis v minulém čase a v trpném rodě, který zní jako zápis z porady. Čtvrtá je odkaz na číslo úkolu bez jakéhokoli vysvětlení: číslo ti řekne, kde hledat, ale ne co změna znamená.

Cache je užitečná, ale záludná. Zrychlí instalaci závislostí, ale pokud se špatně nakonfiguruje klíč cache, může se stát, že se načte zastaralá verze a build projde, i když by lokálně selhal. Podobně matrix strategie, která spouští úlohu pro více verzí najednou, zvyšuje spotřebu minut. U veřejných repozitářů to obvykle nevadí, u soukromých je dobré hlídat, kolik minut se skutečně spotřebuje.

Základ je jednoduchý: první řádek shrnuje změnu v rozkazovacím způsobu, krátce a konkrétně. Místo „Oprava chyby" napiš „Opravit pád při prázdném vstupu z formuláře". Místo „Úpravy" napiš „Přesunout validaci e-mailu do servisní vrstvy". První řádek má být čitelný v přehledu commitů, takže drž rozumnou délku a nepiš román. Pokud použiješ rozkazovací způsob, výčet změn se čte přirozeně a sjednotíš styl v celém repozitáři.

Co patří do těla a co už je zbytečné Tělo commitu vysvětluje kontext, který z kódu nepoznáš. Uveď, jaký problém existoval, jaké bylo jeho dopad a proč jsi zvolil toto řešení. Pokud jsi zvažoval alternativu a zamítl ji, napiš proč — to je informace, kterou nikde jinde nenajdeš. Naopak vynech popis řádků, které jsi přidal: to je vidět v diffu. Tělo odděl od prvního řádku prázdným řádkem, ať se správně zobrazí v nástrojích i v terminálu.

Praktický postup: než commit vytvoříš, přečti si vlastní diff a napiš, co se změnilo očima někoho, kdo kód nezná. Pokud se ti do prvního řádku nevejde shrnutí, rozděl práci na více commitů. Každý commit ať řeší jednu věc a jde samostatně vrátit. U složitějších změn přidej do těla i to, co jsi netestoval nebo co zůstává otevřené — budoucí čtenář tak pozná hranice změny.

Kde se chyby opravdu dějí Nejčastější chyba není v hlavním formuláři, ale v místech, která vývojář přehlédne: řazení výsledků, filtry, číselné identifikátory v adrese, dávkové operace nebo administrační rozhraní. Dynamické názvy sloupců a tabulek nelze vázat jako hodnoty, proto je nutné je ověřovat proti pevnému seznamu povolených hodnot. Nikdy je neberte přímo z požadavku.

Postupně zjistíte, že generika nejsou jen akademická záležitost. Pomohou vám psát funkce, které fungují pro různé typy, a přesto si zachovají kontrolu. Například funkce, která vrátí první prvek pole, může být typovaná tak, že návratový typ odpovídá typu prvku. To se hodí u kolekcí, kde nechcete ztratit informaci o tom, co v ní je. Stejně tak utility typy jako Partial, Pick nebo Omit vám ušetří psaní opakujících se definic.

If you adored this short article and you would such as to get additional details relating to celý článek kindly check out our own site.