Při vývoji myslete i na chybové hlášky. Nikdy nevypisujte na web přesné znění SQL chyby, které může útočníkovi prozradit strukturu databáze. Místo toho zachycujte výjimky a logujte je do souboru, uživateli zobrazte neutrální zprávu. Dále omezte práva databázového účtu, který aplikace používá. Pokud aplikace nepotřebuje právo DROP TABLE, mějte ho odebráno. V neposlední řadě pravidelně provádějte penetrační testy a používejte automatizované nástroje pro skenování zranitelností, které dokáží najít SQL injection.

Kromě parametrizace je nutné i validovat vstupy Parametrizace je nezbytná, ale ne jediné opatření. I když použijete prepared statements, měli byste dále provést validaci vstupů na úrovni aplikace. Např. pro číselné ID kontrolujte, že vstup je skutečně číslo, a pro e-mailové adresy používejte regulární výraz. Validace by měla odmítnout neočekávané znaky, délku a formát. Tím se snižuje plocha útoku a předejdete i dalším problémům, jako je ukládání nebezpečného HTML kódu.

Častou chybou je použití funkce na sloupci v podmínce, například WHERE YEAR(datum) = 2023. Takový zápis znemožní použití indexu a databáze musí projít celou tabulku. Pokud potřebujete pracovat s datem, raději porovnávejte rozsah: WHERE datum >= '2023-01-01' AND If you are you looking for more in regards to https://Rikkiepedia.nl take a look at the web page. datum <'2024-01-01'. Tím umožníte indexu pracovat efektivně a dotaz se výrazně zrychlí.

Pomalé SQL dotazy dokážou potrápit každého vývojáře. Než rekonstrukce koupelny krok za krokemčnete přidávat další servery nebo měnit architekturu, zkuste se podívat na samotné dotazy. Často stačí pár úprav a databáze začne reagovat výrazně rychleji. Nejběžnější příčinou pomalosti jsou chybějící indexy, zbytečné operace a špatně napsané podmínky.

Další častou chybou je spoléhat na tzv. magické uvozovky nebo na funkce pro escapování, jako je mysql_real_escape_string. Tyto přístupy jsou zastaralé, snadno se obejdou a nezaručují bezpečnost. Navíc při použití vícebajtových znakových sad může escapování selhat. Proto se vyhněte jakémukoli ručnímu sestavování dotazů – jediné správné řešení je parametrizace v kombinaci s validací.

Nezapomínejte ani na ochranu proti CSRF útokům, pokud používáte cookies. Jednoduchým řešením je vlastní hlavička, kterou server vyžaduje u každého požadavku, nebo použití SameSite atributu s hodnotou 'Strict' či 'Lax'. Tím zajistíte, že token nebude odeslán z cizího webu. Na závěr: JWT je výkonný nástroj, ale vyžaduje pečlivou implementaci. Věnujte čas testování scénářů, jako je vypršení, manipulace s tokenem nebo pokus o opětovné použití starého tokenu. Jen tak dosáhnete skutečného zabezpečení vašeho API.

Nakonec si osvojte práci s verzovacím systémem, jako je Git. I při vývoji pro iOS se to vyplatí – umožní vám to vracet změny a spolupracovat s ostatními. Xcode má Git integrovaný, takže nemusíte používat příkazovou řádku, ale alespoň základní příkazy jako commit a push se vyplatí znát. Až budete mít aplikaci hotovou, nezapomeňte ji otestovat na reálném rekonstrukce koupelny krok za krokemřízení – simulátor neodhalí vše, zejména problémy s výkonem nebo dotykovým ovládáním.

Dalším problémem je načítání zbytečných sloupců. Když použijete SELECT *, získáte všechno, i když potřebujete jen dva sloupce. To zvyšuje přenos dat mezi databází a aplikací a zatěžuje paměť. Vypište si vždy jen potřebné sloupce. Stejně tak se vyhněte použití SELECT DISTINCT, pokud to není nezbytně nutné – tato operace třídí a porovnává data, což je výpočetně náročné.

Jak odhalit zranitelnost a co dělat při podezření K testování zranitelnosti můžete použít automatické skenery, ale spolehněte se hlavně na ruční testy. Zkuste barvy stěn do obýváku formulářů zadávat jednoduché testovací řetězce, jako jsou apostrofy nebo znaky spojovníku. Pokud aplikace vrátí chybovou hlášku databáze, je to jasný signál problému. Dalším vodítkem je odlišné chování při zadání různých vstupů, které mění logiku dotazu. Pravidelně procházejte logy aplikace a hledejte neobvyklé požadavky, zejména ty obsahující klíčová slova jako UNION, SELECT nebo INSERT.

Druhým kritickým bodem je expirace tokenu. Krátká platnost (např. 15 minut) snižuje okno pro zneužití, ale zvyšuje zátěž na přihlašování. Řešením je kombinace krátkodobého přístupového tokenu a dlouhodobého refresh tokenu. Refresh token by měl být uložen na serveru a měl by mít možnost být zneplatněn – například při odhlášení nebo změně hesla. Ukládejte refresh token v HttpOnly cookie, abyste zabránili přístupu z JavaScriptu a snížili riziko XSS útoků.

Pokud dotaz běží často se stejnými parametry, zvažte použití připravených příkazů (prepared statements). Databáze si je uloží a nemusí je znovu parsovat, což u opakovaných dotazů ušetří čas. A v neposlední řadě se vyhněte použití poddotazů tam, kde je lze nahradit JOINem – poddotazy se často provádějí pro každý řádek zvlášť, což je pomalé.