Eksik Yetkilendirme (ARCH6120)

Anahtar ruby.security.missing-authorization · Önem warning · Kategori security · CWE CWE-862

Hassas eylemleri kimlik doğrulama veya yetkilendirme kontrolü olmadan ifşa etmek, herhangi bir kullanıcının onlara erişebileceği anlamına gelir. Durum değiştiren eylemleri bir guard ile koruyun.

Hatalı

class AdminController < ApplicationController
  def destroy
    User.find(params[:id]).destroy
  end
end

Doğru

class AdminController < ApplicationController
  before_action :authenticate_user!
  before_action :require_admin!

  def destroy
    User.find(params[:id]).destroy
  end
end

Düzeltme

Korumalı eylemlere kimlik doğrulama ve rol kontrolü uygulayan before_action guard’ları ekleyin.