Gömülü gizli anahtar (ARCH8110)

Anahtar kotlin.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Sır çağrıştıran adlara (password, apiKey, token, secret, privateKey) atanan string sabitlerini işaretler. Ad alanı biçimindeki bir değer (com.example.session.token) sır değil, tercih anahtarıdır.

Hatalı

val apiKey = "sk_live_4f9a1b2c3d4e5f6a7b8c"

Doğru

val apiKey = System.getenv("PAYMENT_API_KEY") ?: error("missing key")

Düzeltme

Gizli değerleri ortamdan, bir kasadan ya da platform anahtar deposundan okuyun.