Hardcoded JWT signing key (ARCH338)

Anahtar dotnet.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT imzalama anahtarını kaynak koda gömmek, depoya erişimi olan herkesin geçerli token üretmesine olanak tanır. Bu, kimlik doğrulama mekanizmasının tamamen aşılmasına yol açar.

Hatalı

var key = new SymmetricSecurityKey(
    Encoding.UTF8.GetBytes("super-secret-signing-key-123"));

Doğru

var key = new SymmetricSecurityKey(
    Encoding.UTF8.GetBytes(configuration["Jwt:SigningKey"]!));
// Değer ortam değişkeni / secret store üzerinden gelir

Düzeltme

İmzalama anahtarlarını kaynak koddan kaldırın; yapılandırmadan, ortam değişkenlerinden veya bir secret store üzerinden yükleyin ve düzenli olarak rotasyona tabi tutun.