Eksik Yetkilendirme (ARCH4120)

Anahtar java.security.missing-authorization · Önem warning · Kategori security · CWE CWE-862

Hassas bir eylemi yetkilendirme denetimi olmadan açan controller uç noktası, herhangi bir istemcinin korumalı işlemi çağırmasına olanak tanır. Hassas uç noktaları açık bir yetki kontrolüyle koruyun.

Hatalı

@DeleteMapping("/admin/users/{id}")
void delete(@PathVariable Long id) { // yetki denetimi yok
    userService.delete(id);
}

Doğru

@DeleteMapping("/admin/users/{id}")
@PreAuthorize("hasRole('ADMIN')")
void delete(@PathVariable Long id) {
    userService.delete(id);
}

Düzeltme

Hassas uç noktalara @PreAuthorize gibi bir yetkilendirme denetimi ekleyin.