JWT doğrulaması yok (ARCH8126)

Anahtar kotlin.security.jwt-no-validation · Önem error · Kategori security · CWE CWE-347

İmza doğrulaması olmadan çözülen JWT’leri (JWT.decode, imza anahtarı olmayan parser, atlanan verify) işaretler.

Hatalı

val claims = JWT.decode(token).claims

Doğru

val claims = JWT.require(Algorithm.HMAC256(key)).build().verify(token).claims

Düzeltme

Bir claim’e güvenmeden önce imzayı ve beklenen issuer / audience’ı doğrulayın.