Gömülü JWT İmzalama Anahtarı (ARCH7137)

Anahtar php.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT/HMAC imzalama anahtarını kaynak koda literal olarak gömmek, kaynak sızdığı anda token bütünlüğünü çökertir. Saldırgan anahtarı öğrenince geçerli token’lar üretebilir.

Hatalı

<?php
$jwt = JWT::encode($payload, 'super-secret-key-123', 'HS256'); // anahtar kodda

Doğru

<?php
$key = getenv('JWT_SIGNING_KEY'); // ortam değişkeni / secret store
$jwt = JWT::encode($payload, $key, 'HS256');

Düzeltme

İmzalama anahtarını ortam değişkeninden veya bir secret yöneticisinden okuyun; kaynak kodda asla tutmayın.