Sabit kodlanmış JWT imza anahtarı (ARCH2137)

Anahtar python.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT veya HMAC imza anahtarını kaynak kodda literal olarak tutmak, kod sızdığında token bütünlüğünü tamamen çökertir. Saldırgan anahtarı ele geçirip geçerli token üretebilir.

Hatalı

import jwt

token = jwt.encode({"sub": user_id}, "super-secret-key", algorithm="HS256")

Doğru

import jwt
import os

secret = os.environ["JWT_SIGNING_KEY"]
token = jwt.encode({"sub": user_id}, secret, algorithm="HS256")

Düzeltme

İmza anahtarını ortam değişkeni veya güvenli bir gizli yönetim sisteminden okuyun; asla koda gömmeyin.