Sabit Kodlanmış Sır (ARCH5110)

Anahtar go.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Sırlar, API anahtarları, parolalar ve özel anahtarlar kaynak kodda literal olarak gömüldüğünde sürüm kontrolüne ve build çıktılarına sızar. Bir kez sızan sır iptal edilene kadar kötüye kullanılabilir.

Hatalı

const apiKey = "sk_live_4eC39HqLyjWDarjtT1zdp7dc"
client := stripe.New(apiKey)

Doğru

apiKey := os.Getenv("STRIPE_API_KEY")
client := stripe.New(apiKey)

Düzeltme

Sırları ortam değişkenlerinden veya bir sır yöneticisinden yükleyin; kaynak koda asla literal gömmeyin.