Authorization removed (ARCH9203)

Anahtar swift.security.authorization-removed · Önem error · Kategori security · CWE CWE-862

Yalnız merge request’lerde. Değişen her Vapor route’unu hedef daldaki haliyle karşılaştırır ve korumasını kaybedeni işaretler: kimliği doğrulanmamış çağıranı reddeden bir builder’a (guardMiddleware() ya da redirectMiddleware() ile grouped, group { } kapanışı, bunlardan türetilen builder ya da bunlardan birine kaydedilen RouteCollection) kayıtlıyken artık olmayan route. Deponun 401 / 403 dönen kendi middleware’i koruma sayılır; tek başına authenticator sayılmaz (yalnız varsa çağıranı tanır). Açık bir route tek başına bulgu değildir; onu açan değişiklik bulgudur, değişikliğin kendi eklediği route ise yenidir, açılmış sayılmaz.

Yanlış

func routes(_ app: Application) throws {
    let protected = app.grouped(UserToken.authenticator(), User.guardMiddleware())
    protected.get("me") { req in try req.auth.require(User.self) }
    protected.delete("orders", ":id", use: deleteOrder)
    app.delete("orders", ":id", use: deleteOrder)
}

Doğru

func routes(_ app: Application) throws {
    let protected = app.grouped(UserToken.authenticator(), User.guardMiddleware())
    protected.get("me") { req in try req.auth.require(User.self) }
    protected.delete("orders", ":id", use: deleteOrder)
}