Častou chybou je neověřování všech součástí tokenu na serveru. Kromě podpisu a expirace kontrolujte také issuer a audience, tedy pro koho byl token vydán a pro kterou službu je určen. Bez této kontroly může útočník použít token z jiné aplikace, pokud má stejné podpisové klíče. Dále si dejte pozor na algoritmus, kterým je token podepsán. Útočník může zkusit změnit hlavičku na „none” a obejít tak ověření. Vždy explicitně definujte seznam povolených algoritmů a v případě pochybnosti token zamítněte.

Prvním krokem k čistšímu kódu je správná struktura složek. Místo dělení na actions, reducers a types podle typu, seskupte soubory podle feature – například userSlice, cartSlice nebo productsSlice. Dnes se doporučuje používat Redux Toolkit, který výrazně redukuje psaní boilerplate kódu. Pomocí funkce createSlice definujete state, reducers a akce na jednom místě. To eliminuje chyby z přepisování názvů akcí a usnadňuje údržbu. Nezapomeňte, že každý slice by měl být nezávislý a měl by obsahovat jak data, tak i stav načítání a chybové stavy.

Pozor také na přístupnost, kterou vývojáři často podceňují. Nejde jen o povinnost, ale o praktickou funkčnost. Uživatelé se zhoršeným zrakem, pohybovým postižením nebo jen s modrým filtrem na obrazovce ocení, když dodržíte kontrastní poměry, nastavíte správné alt texty u obrázků a umožníte ovládání klávesnicí. Typická chyba? Spoléháte na to, že stačí barevně odlišit tlačítko, ale ignorujete, že barevně slepý uživatel nerozpozná, že je aktivní. Přidejte ikonu nebo textovou změnu kromě barvy, a problém je vyřešen.

Další osvědčený postup je normalizace stavu. Pokud ukládáte pole objektů, snažte se je ukládat jako objekt s id jako klíčem a pomocí pole id uchovávat pořadí. To usnadňuje aktualizace a vyhledávání. V praxi to znamená, že v slice budete mít strukturu: items: [id]: item , order: [] . Při přidání nové položky stačí upravit jeden uzel, nikoliv celé pole. Tím se výrazně zlepší výkon při velkých seznamech.

Implementace JWT je jednoduchá, ale vyžaduje disciplínu. Důkladně testujte scénáře, kdy token vyprší, je poškozen nebo obsahuje neplatný podpis. Vytvořte si automatizované testy, které ověřují chování při neplatném tokenu. Sledujte také logy a mějte přehled o tom, kdo a kdy používá vaše API. Pokud narazíte na anomálie, okamžitě reagujte a zneplatněte všechny aktivní tokeny. JWT není samospasitelný, ale při správném použití výrazně zvyšuje bezpečnost vašeho rozhraní.

Další praktickou záležitostí je správa stavových kódů HTTP. Vracejte 200 pro úspěšné GET požadavky, 201 pro vytvoření nového zdroje, 204 pro úspěšné smazání a 400 nebo 404 pro chybové situace. Nepoužívejte univerzální 500 pro vše, co se nepovede. Konkrétní kódy pomáhají klientům rychleji diagnostikovat problém. Rovněž se vyhněte vracení surových chybových hlášení z databáze – vytvořte si jednoduchý middleware, který zachytí výjimky a převede je na JSON s přátelským popisem.

Na závěr si zapamatujte, že UI/UX není jen práce designéra. Je to společný jazyk, kterým mluvíte s týmem, ale i s uživatelem, pro kterého produkt tvoříte. Když při kódování přemýšlíte o tom, proč je prvek tam, kde je, a jak se uživatel dostane k cíli, stáváte se lepším vývojářem i partnerem v týmu. Začněte malými kroky – proveďte si audit stávajícího kódu, najděte nekonzistence a navrhněte opravu. Taková snaha se vyplatí nejen na projektu, ale i v rozvoji vašich vlastních dovedností.

Základní test vypadá jako obyčejná funkce s tvrzením. Místo složitých metod typu assertEqual stačí použít obyčejný příkaz assert. Pokud podmínka neplatí, pytest vypíše, co konkrétně selhalo. Například test pro funkci, která sčítá dvě čísla, může vypadat takto: def test_soucet(): assert soucet(2, 3) == 5. Tento přístup je přirozený a nezahltí vás zbytečnou syntaxí.

Na závěr: DevOps není o tom, že budete používat „všechno moderní”. Začněte s jedním týmem a jedním projektem, kde vidíte největší bolest. Zapojte lidi z obou stran – vývoje i provozu – a pravidelně vyhodnocujte, jestli se situace zlepšuje. Postupně rozšiřujte osvědčené postupy na další služby. Klíčem není rychlost, ale konzistence a schopnost učit se z vlastních chyb.

Bezpečný přenos a ukládání dat Kromě expirace je důležité, co do tokenu vkládáte. Nikdy do payloadu nedávejte citlivé údaje, jako jsou hesla, osobní čísla nebo platební informace. Token je podepsaný, ne šifrovaný – kdokoli si ho může přečíst, pokud ho získá. Vkládejte pouze nezbytná data, například identifikátor uživatele, roli a čas vydání. Při každém požadavku ověřte, zda je token stále platný a zda uživatel nebyl zablokován. To lze zkombinovat s kontrolou verze tokenu nebo s globálním seznamem zneplatněných tokenů.