Sabit Kodlanmış JWT İmza Anahtarı (ARCH5137)

Anahtar go.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT/HMAC imza anahtarını kaynak kodda literal olarak gömmek, kaynak sızdığı an token bütünlüğünü tehlikeye atar. Saldırgan kendi geçerli token’larını imzalayabilir.

Hatalı

token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
signed, _ := token.SignedString([]byte("super-secret-key"))

Doğru

secret := []byte(os.Getenv("JWT_SIGNING_KEY"))
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
signed, _ := token.SignedString(secret)

Düzeltme

İmza anahtarını ortam değişkeninden veya bir sır yöneticisinden okuyun; asla koda gömmeyin.