Eksik yetkilendirme (ARCH5120)

Anahtar go.security.missing-authorization · Önem warning · Kategori security · CWE CWE-862

Go yönlendiricisinde okunacak bir öznitelik yoktur; kontrol dosya bazındadır: auth, JWT, session, guard ya da rol adlı hiçbir ara katman, tanımlayıcı ya da import geçmeyen bir dosyada kayıtlı POST/PUT/DELETE/PATCH rotaları (gin, echo, fiber, chi, gorilla/mux) birer kez işaretlenir. Birinden söz eden dosyaya güvenilir.

Hatalı

func routes(r *gin.Engine) {
  r.GET("/users", list)
  r.POST("/users", create)
  r.DELETE("/users/:id", remove)
}

Doğru

func routes(r *gin.Engine) {
  r.GET("/users", list)
  protected := r.Group("/", RequireAuth())
  protected.POST("/users", create)
  protected.DELETE("/users/:id", remove)
}

Düzeltme

Durum değiştiren rotaları kimlik doğrulama ara katmanı arkasındaki bir gruba kaydedin ve çağıranın iznini işleyicide denetleyin.