Inline connection string password (ARCH328)

Anahtar dotnet.security.connection-string-password · Önem warning · Kategori security · CWE CWE-798

Bağlantı dizelerine düz metin parola gömmek, kimlik bilgilerinin kaynak kod deposunda açığa çıkmasına neden olur. Depoya erişimi olan herkes veritabanına bağlanabilir.

Hatalı

var connection = new SqlConnection(
    "Server=db;Database=app;User Id=sa;Password=P@ssw0rd!;");

Doğru

var connection = new SqlConnection(
    configuration.GetConnectionString("Default"));
// Parola ortam değişkeni / secret store üzerinden sağlanır

Düzeltme

Parolaları kaynak koddan kaldırın; bağlantı dizelerini ortam değişkenleri, User Secrets veya bir secret store (Key Vault vb.) üzerinden yükleyin.