Sabit Kodlanmış JWT İmza Anahtarı (ARCH6137)

Anahtar ruby.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT imza anahtarını kaynak kodunda sabit dize olarak gömmek, kaynak sızdığında jeton bütünlüğünü çökertir ve saldırganların geçerli jeton üretmesine olanak tanır. Anahtarı ortamdan okuyun.

Hatalı

require "jwt"

token = JWT.encode(payload, "super-secret-key", "HS256")

Doğru

require "jwt"

secret = ENV.fetch("JWT_SIGNING_KEY")
token = JWT.encode(payload, secret, "HS256")

Düzeltme

İmza anahtarını ortam değişkeninden veya bir gizli anahtar yöneticisinden okuyun.