Sabit kodlanmış gizli bilgi (ARCH2110)

Anahtar python.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Parolaları, API anahtarlarını, token’ları ve özel anahtarları kaynak koda string literal olarak gömmek, kod deposuna erişen herkesin bu gizli bilgileri görmesine yol açar. Sızan sırlar kolayca rotasyona gidemez.

Hatalı

DB_PASSWORD = "P@ssw0rd123!"
client = connect(user="app", password=DB_PASSWORD)

Doğru

import os

DB_PASSWORD = os.environ["DB_PASSWORD"]
client = connect(user="app", password=DB_PASSWORD)

Düzeltme

Gizli bilgileri ortam değişkenlerinden veya bir gizli yönetim sisteminden okuyun; kaynak kodda asla tutmayın.