AllowAnonymous on sensitive endpoint (ARCH321)

Anahtar dotnet.security.allow-anonymous-on-sensitive · Önem warning · Kategori security · CWE CWE-862

Hassas işlemler içeren bir action üzerinde [AllowAnonymous] kullanmak, kimlik doğrulama ve yetkilendirme kontrollerini tamamen devre dışı bırakır. Bu durum, yetkisiz kullanıcıların korunması gereken kaynaklara erişmesine yol açabilir.

Hatalı

[AllowAnonymous]
[HttpPost("admin/delete-user")]
public IActionResult DeleteUser(int id)
{
    _users.Delete(id);
    return Ok();
}

Doğru

[Authorize(Roles = "Admin")]
[HttpPost("admin/delete-user")]
public IActionResult DeleteUser(int id)
{
    _users.Delete(id);
    return Ok();
}

Düzeltme

Hassas uç noktalardan [AllowAnonymous] özniteliğini kaldırın ve uygun rol ya da policy tabanlı [Authorize] kuralını uygulayın.