Authorization removed (ARCH3326)

Anahtar typescript.security.authorization-removed · Önem error · Kategori security · CWE CWE-862

Yalnız merge request’lerde. Değişen her endpoint’i hedef daldaki haliyle karşılaştırır ve korumasını kaybedeni işaretler: NestJS controller’larında kaldırılan guard (@UseGuards ya da onu uygulayan birleşik dekoratör), eklenen public dekoratörü ya da düşürülen gereksinim dekoratörü (@Roles …); Express tarzı route’larda route’tan ya da router.use’dan kaldırılan kimlik doğrulama middleware’i; NestJS middleware tüketicilerinde forRoutes’tan çıkarılan ya da exclude’a eklenen route. Guard, public işareti, gereksinim ve kimlik doğrulama middleware’i adlardan değil deponun kendi kodundan tanınır (SetMetadata, 401/403 cevabı, UnauthorizedException, passport.authenticate). Next.js’te: middleware’de isteği kimlik doğrulamadan geçiren bir listeye eklenen ya da 401 / 403 kontrolüne götüren bir listeden çıkarılan yol - listenin yönü adından değil koddaki akıştan çıkarılır; middleware matcher’ın artık kapsamadığı yol; oturum ya da token kontrolünü bırakan route handler (app/**/route.ts, pages/api). Açık bir endpoint tek başına bulgu değildir; onu açan değişiklik bulgudur.

Yanlış

@Controller("orders")
export class OrdersController {
  @UseGuards(AuthGuard("jwt"), RolesGuard)
  @Roles("admin")
  @Delete(":id")
  remove(@Param("id") id: string) { return this.orders.remove(id); }
}

Doğru

@Controller("orders")
export class OrdersController {
  @UseGuards(AuthGuard("jwt"), RolesGuard)
  @Roles("admin")
  @Delete(":id")
  remove(@Param("id") id: string) { return this.orders.remove(id); }
}