Sabit Kodlanmış Gizli Bilgi (ARCH6110)

Anahtar ruby.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Gizli anahtarları, API anahtarlarını, parolaları ve jetonları kaynak kodunda gömmek, kaynak deposuna erişen herkese ifşa eder. Gizli bilgileri ortamdan veya bir kasadan okuyun.

Hatalı

class PaymentClient
  API_KEY = "sk_live_4eC39HqLyjWDarjtT1zdp7dc"

  def charge(amount)
    Stripe::Charge.create(amount: amount, api_key: API_KEY)
  end
end

Doğru

class PaymentClient
  def charge(amount)
    Stripe::Charge.create(amount: amount, api_key: ENV.fetch("STRIPE_API_KEY"))
  end
end

Düzeltme

Gizli bilgileri kaynaktan kaldırın ve ortam değişkenlerinden veya bir gizli anahtar kasasından okuyun.