Konečně, nepodceňujte použití HTTPS. Token putuje v hlavičce Authorization a pokud běží komunikace po nezabezpečeném kanálu, může ho kdokoli odposlechnout. Vždy používejte HTTPS a nikdy token nevkládejte do URL, protože URL se loguje do serverových logů a může se dostat do rukou nepovolaným. Místo toho ho posílejte v hlavičce a vyhněte se i ukládání do localStorage, které je zranitelné vůči XSS. Bezpečnějším místem je cookie s atributem HttpOnly, ale to vyžaduje zvážit ochranu proti CSRF. Celkově platí: JWT je nástroj, ne kouzelná hůlka. Bezpečnost stojí na správné konfiguraci, důkladné validaci a neustálé ostražitosti.<br>
<br>
<br>
<br>
Začněte tím, že si nainstalujete aktuální verzi jazyka z oficiálních stránek. Vytvořte si virtuální prostředí, a to i pro malé projekty — ušetříte si tím budoucí bolesti hlavy, když se vám knihovny začnou přepisovat. Pak si osvojte základní syntaxi: proměnné, seznamy, slovníky, podmínky, cykly a funkce. Nepřeskakujte tuto fázi, protože každý skript, který napíšete, bude z těchto stavebních kamenů postavený. Ideální je první týden jen opakovat krátké úlohy z učebnic, dokud vám zápis nepřejde do krve.<br>
<br>
<br>
<br>
Psaní commit zpráv vypadá jako banální rutina, ale právě tady se rozhoduje, jestli bude historie projektu čitelná za měsíc, za rok, nebo za tři roky. Většina vývojářů tlačí do repozitáře desítky commitů týdně a málokdo se zastaví nad tím, co vlastně do zprávy píše. Přitom stačí pár sekund navíc a místo hádanek „co se to tu sakra stalo" vznikne záznam, který odpovídá na otázky, jež si budete klást při hledání chyby nebo při code review.<br>
<br>
<br>
<br>
<span style="font-weight: bold;">Druhý problém je vynechání</span> kontextu. Commit „změna konfigurace" může znamenat cokoliv – změnu portu, přidání proměnné prostředí, úpravu timeoutu. Vždy uveďte, co konkrétně a proč. Třeba „zvýšení timeoutu na 30 s kvůli pomalé odpovědi externí API". Tím dáváte budoucímu čtenáři šanci rozhodnout, jestli je změna relevantní pro jeho problém, aniž by musel prolézat celý diff. A pokud používáte ticketovací systém, zmínka o čísle úkolu je užitečná – ale ne místo popisu, nýbrž jako doplněk.<br>
<br>
<br>
<br>
Jak poznat, že vám IDE usnadní ladění i správu závislostí Druhým klíčovým bodem je integrace ladicího nástroje. Python bez pořádného debuggeru je jako jízda bez zpětných zrcátek. Dobré IDE by vám mělo umožnit nastavit breakpointy, procházet kód krok za krokem a sledovat hodnoty proměnných v reálném čase. Zkuste si předem nasimulovat jednoduchou chybu a ověřte, jestli vám prostředí ukáže přesný řádek a obsah proměnných. Mnoho začátečníků dělá chybu, že spoléhá jen na tiskové výpisy – to je pomalé a nepřehledné, zvlášť u složitějších projektů.<br>
<br>
<br>
<br>
První praktický skript: práce se soubory a chybové stavy Jakmile ovládáte základy, vyberte si jednu konkrétní činnost, která vás štve. Například přesouvání souborů podle přípony nebo přejmenovávání hromady fotek. Napište skript, který projde složku, vybere soubory podle vzoru a provede s nimi požadovanou operaci. Použijte modul pro práci s cestami a operace se soubory. Dbejte na to, abyste používali relativní cesty k projektu, ne absolutní k nějaké složce na disku — skript pak poběží i na jiném počítači.<br>
<br>
<br>
<br>
Základní pravidlo je jednoduché: commit zpráva má popisovat změnu, ne opsat diff. Pokud napíšete „oprava bugu", neřeknete nic. Pokud napíšete „oprava null pointeru při parsování prázdného JSONu v ReportService", řeknete přesně to, co potřebujete. Nikdo nechce číst commit „fix" ani „update". Takové zprávy jsou k ničemu, protože nedávají kontext. A kontext je to, co dělá historii použitelnou.<br>
<br>
<br>
<br>
Prvním krokem je správná volba algoritmu. Mnoho vývojářů sáhne po algoritmu HS256, protože je jednoduchý, ale vyžaduje sdílený tajný klíč mezi serverem a klientem. To je problém: jakmile klíč unikne, útočník může podepisovat vlastní tokeny. Bezpečnější je použít asymetrický algoritmus RS256 nebo ES256, kde máte privátní klíč pouze na serveru a veřejný klíč distribuujete klientům. Tím eliminujete riziko spojené s kompromitací tajemství. Pokud už ale používáte HS256, dbejte na to, aby klíč byl dostatečně dlouhý a náhodný – minimálně 32 bajtů, ideálně více.<br>
<br>
<br>
<br>
Než začnete posílat životopisy, udělejte si malý průzkum trhu. Otevřete si nabídky práce a zjistěte, jaké technologie se opakují. Pokud jste se učili JavaScript, ale většina inzerátů v okolí hledá Java nebo Python, zvažte, jestli se nepřeorientovat. Nejde o to umět vše, ale trefit se do poptávky. Zároveň si ověřte, co je v daném regionu standard – někde dominují velké korporace, jinde startupové týmy. Každé prostředí má jiná očekávání.
