Řízení více feature větví: praktický průvodce verzováním

Jak bezpečně začlenit hotovou větev a nerozbít main Než začnete větev začleňovat, ujistěte se, že prošla testy a kontrolou kódu. Mnoho týmů používá takzvaný „pull request" s povinnou revizí od jiného vývojáře. Tím se výrazně snižuje riziko, že se do mainu dostane chyba. Před merge je také vhodné provést rebase a po něm spustit testy znovu, protože po přepsání historie se může chování změnit. Pokud používáte merge commit, držte ho vždy jako poslední a neprovádějte žádné další úpravy do větve po začlenění.

Dalším častým problémem je nevhodné pojmenování větví. Místo obecných názvů jako „oprava" nebo „feature" používejte strukturu, která napoví, o co jde – třeba „feat/prihlasovani", „fix/chybny-vypocet-dph". To pomůže nejen vám, ale i ostatním členům týmu rychle identifikovat účel větve. Dobré je také zaznamenat do názvu číslo úkolu z vašeho systému, pokud ho používáte, ale není to nutné.

Klíčové rozhodnutí: podpis a platnost tokenu Prvním krokem je volba algoritmu pro podpis. Doporučuje se používat asymetrické šifrování, například algoritmus RS256, kdy soukromý klíč zůstává na serveru a veřejný klíč distribuujete. Vyhnete se tak nutnosti sdílet tajný klíč mezi více službami. Nikdy nepoužívejte algoritmus 'none', který umožňuje útočníkovi vytvořit token bez podpisu. Dále vždy nastavte krátkou dobu platnosti, ideálně v řádu minut, a pro obnovení přístupu použijte samostatný refresh token. Dlouhá platnost přístupového tokenu zvyšuje riziko zneužití při jeho úniku.

Na závěr si osvojte pravidlo: Grid pro makro, Flexbox pro mikro. Když řešíte celou stránku, sáhněte po Gridu. Když řešíte zarovnání pár prvků v řadě, použijte Flexbox. Kombinací obou technik dosáhnete responzivního designu, který se snadno čte a přizpůsobuje. Testujte v prohlížeči na různých šířkách, používejte DevTools pro ladění a hlavně se nebojte experimentovat – obě metody mají bohatou dokumentaci a příkladů najdete dost.

Odhad času v agilním vývoji je vždy kompromisem mezi přesností a rychlostí. Než začnete plánovat, rozdělte si práci na dvě základní kategorie: analytické fáze (průzkum, návrh, specifikace) a implementaci (kódění, testování, nasazení). Každá z nich má jiné riziko a nejistotu, a proto je nelze odhadovat stejným metrem. Analytika obvykle zabere méně času, ale chyba v ní se promítne do celé implementace – pokud podceníte návrh, v kódu to doženete dvojnásobně.

Když přijde na responzivní design, nejčastější chybou bývá spoléhat se na jednu techniku. CSS Grid a Flexbox nejsou konkurenty, ale nástroje pro různé situace. Grid je ideální pro celkovou strukturu stránky – sloupce, řádky, rozvržení sekcí. Flexbox zase perfektně funguje tam, kde potřebujete rozmístit prvky v jedné ose, třeba navigaci, tlačítka nebo karty v řadě. Pokud obě metody zkombinujete, získáte rychlý a čitelný kód, který se snadno udržuje.

Při práci na více feature větvích se snadno ztratí přehled o tom, která změna patří kam. Základním pravidlem je oddělit každou funkci do vlastní větve a držet ji co nejkratší dobu. Čím déle větev žije, tím větší je riziko konfliktů při merge a tím těžší je ji nakonec začlenit. Ideální je, když větev existuje maximálně pár dní a obsahuje jen jeden logický celek – jednu funkci, jedno vylepšení, jeden bugfix.

Dalším kritickým bodem je ukládání tokenů na straně klienta. Nejbezpečnější je uchovávat je v paměti aplikace, ale to není vždy praktické. Pokud je nutné token uložit na disku, použijte zabezpečené úložiště, které poskytuje operační systém, a nikoli běžné cookies s dlouhou životností. Pro webové aplikace zvažte použití patternu, kdy je přístupový token krátkodobý a refresh token je uložen v HttpOnly cookie s omezeným rozsahem. Tím minimalizujete riziko krádeže tokenu přes XSS útok.

Při odhadu vždy zohledněte závislosti na jiných týmech nebo externích systémech. Pokud implementace závisí na API, které teprve vzniká, přidejte k odhadu rizikový faktor – klidně 50 % navíc. Stejně tak analytika, která čeká na rozhodnutí product ownera, je časově nejistá. V takovém případě odhadujte v rozpětí, ne jedním číslem: „5–8 bodů" místo „6 bodů".

Mezi typické chyby patří také logování tokenů v serverových logách, což může vést k jejich úniku. Nikdy tokeny nezapisujte do výpisů chyb ani do monitorovacích nástrojů. Dále si dejte pozor na to, aby token nebyl součástí URL, protože se může dostat do historie prohlížeče nebo do referrer hlavičky. Vždy jej přenášejte v hlavičce Authorization. Pokud používáte veřejné API, nezapomeňte na řádné omezení rychlosti požadavků a na to, aby tokeny měly minimální oprávnění podle principu nejnižších privilegií.