Hardcoded secret (ARCH301)

Anahtar dotnet.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Kaynak koda gömülen parola, API anahtarı veya bağlantı dizeleri sürüm kontrolüyle sızar ve kolayca çıkarılır. Kimlik bilgileri yapılandırma veya bir secret yöneticisinden okunmalıdır.

Hatalı

var connectionString =
    "Server=db;Database=app;User Id=sa;Password=P@ssw0rd123!;";
var client = new SqlConnection(connectionString);

Doğru

var connectionString = configuration.GetConnectionString("AppDb");
var client = new SqlConnection(connectionString);

Düzeltme

Gizli değerleri ortam değişkenlerinden, IConfiguration’dan veya bir secret yöneticisinden (Azure Key Vault, user-secrets) okuyun; sabit değer olarak yazmayın.