Gömülü Sır (ARCH7110)

Anahtar php.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Sırları, API anahtarlarını, parolaları ve özel anahtarları kaynak kodda string literal olarak tutmak, kod deposuna erişen herkese kimlik bilgisini verir ve rotasyonu imkânsızlaştırır.

Hatalı

<?php
$client = new ApiClient(['api_key' => 'sk_live_4eC39HqLyjWDarjtT1zdp7dc']);

Doğru

<?php
$client = new ApiClient(['api_key' => getenv('STRIPE_API_KEY')]);

Düzeltme

Tüm sırları ortam değişkenlerinden veya bir secret yöneticisinden okuyun; kaynak kontrolünde asla tutmayın.