Kdy REST ničí výkon a GraphQL zbytečně komplikuje

Nejčastější chyba je, že do testu zahrnete skutečný HTTP klient. Ten se snaží volat síť, testy jsou pomalé a padají podle připojení. Řešení je jednoduché: síťového klienta nahraďte ručně vytvořenou funkcí, která vrací předpřipravená data nebo chybu. Stejně tak časovače: pokud async akce používá odložené volání, v testu je nahraďte synchronním spuštěním. Nikdy nespouštějte skutečné čekání, testy pak trvají zbytečně dlouho.

Podepisování a ověřování Pro symetrické podepisování (HS256) používejte dostatečně dlouhý a náhodný klíč, ideálně z proměnné prostředí, nikdy ne v kódu. Asymetrické algoritmy (RS256, ES256) jsou vhodné, když token vydává jedna služba a ověřuje jiná – veřejný klíč lze bezpečně distribuovat. Vždy explicitně povolte pouze jeden algoritmus a při ověřování ho vynuťte. Typická chyba je přijetí algoritmu none nebo toho, který útočník vloží do hlavičky. Totéž platí pro ignorování podpisu u knihoven, které to umožňují konfigurací.

Volba mezi REST API a GraphQL není otázka modernosti, ale konkrétního tvaru dat a způsobu, jakým je klient bude používat. REST staví na pevně daných endpointech, kde každá adresa vrací předem definovanou strukturu. GraphQL nabízí jeden vstupní bod a klient si sám určí, která pole potřebuje. První chyba, kterou lidé dělají, je rozhodování podle popularity nástroje místo podle toho, jestli data mají pevnou nebo proměnlivou podobu.

Praktický postup je rozdělit odhad na dvě části. První je čistá práce, kterou umíte pojmenovat. Druhá je režie, kterou odhadnete z historie. Pokud z posledních pěti úkolů vychází, že režie tvořila zhruba třetinu času, použijte stejný podíl i nyní. Nejde o přesné číslo, ale o vědomé zahrnutí místo jeho ignorování. U delších úkolů režie neroste lineárně — čím více lidí a systémů je zapojeno, tím více času spotřebuje koordinace.

Nejprve si nainstalujte vývojové prostředí. Stačí Visual Studio Community nebo JetBrains Rider, případně VS Code s rozšířením pro C#. Při instalaci zaškrtněte workload pro .NET desktop development. Pak zvolte šablonu Console App a cílový framework .NET 8 nebo novější. Pokud vytvoříte projekt ve složce s diakritikou nebo mezerami, může se stát, že se build zasekne na neplatné cestě. Proto používejte názvy jako MojeAplikace bez háčků a mezer.

Co se opravdu stane po stisku F5 Po spuštění se nejdřív zavolá metoda Main. V novějších verzích C# ji nemusíte psát ručně, kompilátor vygeneruje takzvaný top-level program. Kód, který napíšete na první řádek souboru Program.cs, se provede jako první. To je častý zdroj zmatku: začátečník vloží metodu Main doprostřed a dostane chybu CS8802 nebo CS0017. Řešení je jednoduché – buď používejte top-level zápis, nebo všechny metody držte mimo něj a Main nechte jako jedinou vstupní metodu.

U async akcí jde nejčastěji o thunk. Ten je funkce, která přijímá dispatch a getState a vrací promise. Test spočívá v tom, že thunk zavoláte s falešnými funkcemi, počkáte na promise a zkontrolujete, jaké akce se dispatchovaly a v jakém pořadí. Pozor na to, že thunk může dispatchovat jiné thunky. V takovém případě je potřeba je buď rozbalit, nebo testovat jen tu vnější část a vnitřní řešit zvlášť.

Volba vývojového prostředí pro Python vypadá jako marginálie, dokud nestrávíte celý den konfigurací rozšíření, která si navzájem kradou klávesové zkratky. IDE není jen okno s editorem. Rozhoduje o tom, jak rychle najdete chybu, jak snadno spustíte testy a jestli vůbec pochopíte, co se v kódu děje. Špatná volba se neprojeví hned první den, ale po měsíci zjistíte, že půlku času trávíte bojem s nástrojem místo řešením problému.

Doba platnosti tokenu má být krátká – řádově minuty až hodiny. Pro delší sezení používejte refresh token, který je uložen bezpečně (HttpOnly cookie, nikoli localStorage) a lze ho jednorázově zneplatnit. Claims jako role nebo oprávnění neberte jako absolutní pravdu, pokud se mohou změnit během platnosti tokenu. Buď je ověřujte proti databázi, nebo zvolte kratší expiraci. Do payloadu nikdy nedávejte citlivé údaje (hesla, rodná čísla, čísla karet) – payload je pouze podepsaný, ne šifrovaný, takže si ho kdokoli přečte.

Nepodceňujte ani terminál a správu úloh. IDE, které umí spouštět příkazy projektu přímo v integrovaném terminálu se správným prostředím, ušetří desítky přepnutí denně. Zkuste si nastavit jeden spouštěcí profil pro testy a jeden pro ladění. Pokud to zabere více než několik minut, je to další argument proti. Nakonec se ptejte na rychlost hledání v projektu a na to, zda nástroj umí pracovat s monorepem nebo více kořeny. To jsou věci, které vás budou bolet každý den.