Když chcete zabezpečit API, JWT tokeny jsou jedním z nejpraktičtějších řešení. Než je ale nasadíte, musíte pochopit jejich princip i limity. JWT je samostatný řetězec, který obsahuje hlavičku, payload a podpis. Server ho podepíše, ale neukládá ho v databázi, což šetří výkon a umožňuje horizontální škálování. Hlavní výhoda spočívá v tom, že token nese informace (např. ID uživatele, oprávnění), které si klient posílá zpět s každým požadavkem.

Scrum je nejrozšířenější agilní rámec, ale v českých firmách často končí jako polovičatá implementace. Než začnete, pochopte, že Scrum není o nástrojích, ale o lidech a pravidlech. Začněte s malým týmem o třech až devíti lidech, ideálně s jedním produktovým vlastníkem a jedním Scrum Masterem. Vyberte si konkrétní projekt s reálným zákazníkem – teoretické zkoušení na fiktivním zadání vám nedá zpětnou vazbu, kterou potřebujete.

Retrospektiva je nejcennější část, ale v českém prostředí se často přeskakuje nebo se mění na stížnosti. Použijte jednoduchý rámec: co fungovalo, co nefungovalo, co zlepšíme v příštím sprintu. Vyberte si maximálně jednu nebo dvě akce, které skutečně uděláte. Pokud si na retrospektivě řeknete „musíme víc testovat”, ale nikdo to nezapíše a nepřiřadí vlastníka, nestane se nic. Zkuste rotovat role a mluvit i o procesu, ne jen o technice.

Pozor také na to, jak se IDE chová při práci s více databázovými systémy najednou. Pokud máte v produkci PostgreSQL a ve vývoji SQLite, oceníte, když přepínání mezi nimi proběhne bez nutnosti měnit nastavení celého projektu. Některá IDE mají univerzální ovladače, ale ne vždy fungují spolehlivě. Vyzkoušejte si připojení k oběma databázím a sledujte, zda se vám nemísí metadata, nebo zda se vám po přepnutí neztratí připojení. Toto je častý skrytý problém, který se projeví až po delší práci.

Nakonec zvažte, jak často databázové nástroje používáte. Pokud je to příležitostně, postačí vám jednodušší editor s rozšířením. Pokud ale databáze tvoří jádro vaší práce, vyplatí se investovat do specializovaného nástroje, který může fungovat samostatně, ale měl by se umět propojit s vaším hlavním IDE. Ideální je, když můžete spustit dotaz přímo z editoru, ale zároveň si otevřít samostatné okno pro vizualizaci dat nebo správu uživatelů. Důležité je, abyste si předem ujasnili, co od nástroje očekáváte, a nevybírali jen podle popularity nebo počtu stažení. Vyzkoušejte si práci na reálném projektu a teprve poté se rozhodněte.

Prakticky implementujte middleware, který token zpracuje. Ten by měl vyjmout token z hlavičky Authorization ve formátu Bearer, ověřit ho a připojit informace o uživateli k požadavku. Vždy řešte chyby pomocí HTTP status kódů – 401 pro neplatný token, 403 pro nedostatečná práva. Vyhněte se logování celých tokenů, stačí logovat ID uživatele a čas platnosti.

Dalším kritériem je podpora ORM a migrací. Pokud používáte Entity Framework, Hibernate, nebo Django ORM, zjistěte si, jak dobře IDE rozumí těmto frameworkům. Některá prostředí umí generovat migrace z databáze, jiná zase naopak porovnávat schéma a nabídnout vám SQL skript. Typickým problémem je, že IDE rozumí čistému SQL, ale neumí pracovat s anotacemi nebo konfiguračními soubory ORM, což vede k tomu, že musíte přepínat mezi více nástroji. To je zbytečně zdlouhavé. Zkuste si proto otevřít váš projekt a podívejte se, jestli IDE rozpozná modely, vztahy a umí vám nabídnout pomoc při psaní dotazů.

Dalším častým problémem je odhadování „ve vzduchu” bez znalosti existujícího kódu. Pokud neznáte architekturu, použité knihovny nebo kvalitu testů, je váš odhad jen tipování. Před odhadem si projděte relevantní části kódu, podívejte se na podobné úkoly z minulosti a zjistěte, jak dlouho reálně trvaly. Historická data z vašeho týmu jsou nejcennějším zdrojem – pokud je nemáte, začněte si je zaznamenávat.

Retrospektiva je srdcem zlepšování, ale jen pokud ji berete vážně. České týmy často sklouznou k tomu, že si postěžují, ale nenavrhnou žádná konkrétní opatření. Zkuste metodu „start, stop, continue” – každý člen navrhne jednu věc, kterou začneme dělat, jednu, kterou přestaneme, a jednu, kterou budeme dělat dál. Na konci si vyberte maximálně tři akční body a přiřaďte jim vlastníka. Bez vlastníka a termínu se retrospektiva mění v tlachání. A pozor – změny z retrospektivy musí být viditelné už v dalším sprintu, jinak tým ztratí motivaci.

Další zásadou je nastavit krátkou platnost tokenu. Ideální je expirace v řádu desítek minut, ne dnů. Pro delší přihlášení použijte refresh tokeny, které se ukládají na serveru a umožňují obnovit přístup bez opakovaného přihlašování. Pamatujte, že JWT je signován, ale ne šifrován – nikdy do něj neukládejte citlivé údaje, jako jsou hesla nebo čísla karet. Payload je snadno dekódovatelný, takže ho berte jako veřejně čitelný.