Gömülü JWT imza anahtarı (ARCH9137)

Anahtar swift.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

Sabit metinli gizli anahtarla oluşturulan JWT imzalayıcılarını (JWTSigner.hs256(key:), string sabitinden HMAC anahtarı) işaretler.

Hatalı

let signer = JWTSigner.hs256(key: "change-me-secret")

Doğru

let signer = JWTSigner.hs256(key: Environment.get("JWT_SECRET")!)

Düzeltme

İmza anahtarını yapılandırmadan yükleyin; commit edildiyse döndürün.