Kdy je GraphQL výhodnější než REST? GraphQL se vyplatí, když máte více klientů s odlišnými datovými potřebami, nebo když potřebujete agregovat data z více služeb. Například dashboard, který zobrazuje statistiky, uživatele i objednávky – v RESTu byste dělali tři requesty, v GraphQL jeden. Další případ je vývoj mobilních aplikací, kde je důležitá úspora dat. Naopak, pokud je API jednoduché, s pevnou strukturou a používáte ho jen z jedné webové aplikace, GraphQL je zbytečná komplikace. Také pokud potřebujete sdílet API s externími partnery, REST je srozumitelnější a snáze se dokumentuje.

WORKDIR /app

Na co si dát pozor při validaci tokenu Nejčastější chybou je spoléhání na to, že token je platný, pokud ho server podepíše. Ve skutečnosti musíte ověřit tři věci: podpis, expiraci a případně i publikum (aud). Nikdy neakceptujte token bez kontroly podpisu, i když přichází z důvěryhodné služby – útočník může token podvrhnout. Dále kontrolujte, že token nebyl odvolán. Implementace seznamu odvolaných tokenů (např. v paměti nebo v databázi) je nezbytná pro případy, kdy dojde k úniku nebo k odhlášení uživatele.

Důležité je také nastavit krátkou platnost access tokenu – typicky v řádu minut, ne dnů. Pro obnovení přístupu pak použijte samostatný refresh token, který je dlouhodobější, ale měl by být uložený s větší opatrností a odvolatelný. Pokud server přijme požadavek s tokenem, vždy ověřte jeho podpis pomocí správného algoritmu a zkontrolujte, že nebyl pozměněn. Nezapomeňte také na kontrolu audience a issueru – jinak se může stát, že token určený pro jinou aplikaci bude u vás platit.

Když stojíte před návrhem API, první otázka obvykle zní: REST, nebo GraphQL? Odpověď není černobílá. REST je starší a osvědčený přístup, GraphQL přináší flexibilitu, ale také složitost. Základní pravidlo: pokud potřebujete rychlé nasazení, stabilní dokumentaci a jednoduchou cache, zvolte REST. In case you loved this informative article and you would want to receive more information with regards to Rady pro Rekonstrukci assure visit the web-page. Pokud řešíte aplikace s mnoha různými klienty (mobil, web, desktop) a datové nároky se liší, GraphQL může ušetřit čas i přenos dat.

Pro testování zabezpečení svého API si vytvořte sadu útoků, které simulují běžné scénáře: upravený podpis, expirovaný token, token s pozměněným payloadem nebo token bez potřebných nároků. Tím rychle odhalíte slabiny vaší implementace a získáte jistotu, že vaše řešení odolá pokusům o obcházení autentizace. Pamatujte, že JWT je nástroj, ne všelék – jeho účinnost stojí na správné konfiguraci a disciplíně při vývoji.

Dalším praktickým doporučením je nevkládat do tokenu citlivé údaje, jako jsou hesla nebo osobní informace. JWT je podepsaný, ale ne šifrovaný – kdokoli s přístupem k tokenu si může přečíst jeho obsah. Pokud potřebujete přenášet citlivá data, použijte šifrovaný formát JWE nebo je ukládejte na server a do tokenu vložte jen odkaz na ně. Také pravidelně kontrolujte seznam odvolaných tokenů a implementujte možnost okamžitého zneplatnění v případě podezření na únik.

SQL injection patří mezi nejčastější a nejnebezpečnější zranitelnosti webových aplikací. Útočník může díky ní číst, měnit nebo mazat data v databázi, obejít přihlášení nebo získat úplnou kontrolu nad serverem. Příčinou je téměř vždy nedostatečné ošetření uživatelského vstupu při sestavování SQL dotazů. Místo toho, abyste se spoléhali na štěstí, naučte se základní obranné techniky, které aplikaci efektivně ochrání.

Typickým praktickým problémem bývá i příliš mnoho dat v samotném tokenu. Do payloadu patří jen minimální identifikátory (např. ID uživatele, role, případně oprávnění), ne osobní údaje či citlivé informace. Token se totiž přenáší v každém požadavku a může být zachycen. Pokud potřebujete podrobnější údaje, načtěte je až na serveru podle ID. Velikost tokenu také ovlivňuje osvětlení v obývákuýkon – čím kratší, tím menší režie při každém volání API.

Klíčové principy bezpečného ukládání a předávání tokenů Při implementaci JWT vždy myslete na způsob přenosu a uložení tokenu na straně klienta. Token nikdy nepředávejte v URL adrese ani v logovacích systémech, protože by se mohl dostat do rukou neoprávněným osobám. Ideální je posílat ho v hlavičce Authorization ve formátu Bearer a na straně klienta ho uchovávat v paměti aplikace nebo v zabezpečeném úložišti. Vyhněte se použití běžného úložiště prohlížeče, pokud to není nezbytně nutné, protože je zranitelné vůči útokům typu XSS.

Samotný token by měl být krátkodobý. Nastavte expiraci na rozsah minut až hodin, nikoli na dny či týdny. Pro delší přihlášení použijte doplňkový refresh token, který se ukládá na straně serveru a umožňuje obnovení přístupu bez nutnosti opakovaného přihlašování. Refresh token musí být chráněn stejně přísně jako hlavní token, ideálně v httpOnly cookie s atributem SameSite a Secure. Při každém obnovení vždy generujte nový pár a ten starý okamžitě zneplatněte.