Sabit Kodlanmış Sır (ARCH4110)

Anahtar java.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Sırları, API anahtarlarını ve parolaları kaynak koda string literal olarak gömmek, kaynak deposu ya da derleme çıktısı sızdığı an bu kimlik bilgilerini ifşa eder. Sırları yapılandırma veya secret yöneticisinden okuyun.

Hatalı

String apiKey = "sk_live_4eC39HqLyjWDarjtT1zdp7dc"; // kaynakta gömülü
PaymentClient client = new PaymentClient(apiKey);

Doğru

String apiKey = System.getenv("PAYMENT_API_KEY");
PaymentClient client = new PaymentClient(apiKey);

Düzeltme

Sırları ortam değişkeni veya secret yöneticisinden yükleyin; kaynak koda gömmeyin.