Gömülü JWT imzalama anahtarı (ARCH3137)

Anahtar typescript.security.hardcoded-jwt-signing-key · Önem error · Kategori security · CWE CWE-321

JWT/HMAC imzalama anahtarını kaynak kodda literal olarak gömmek, kaynak sızdığında token bütünlüğünü tehlikeye atar. Anahtarı yapılandırma veya gizli yöneticisinden okuyun.

Hatalı

import jwt from "jsonwebtoken";

const token = jwt.sign({ sub: user.id }, "super-secret-key-123");

Doğru

import jwt from "jsonwebtoken";

const secret = process.env.JWT_SIGNING_KEY!;
const token = jwt.sign({ sub: user.id }, secret);

Düzeltme

İmzalama anahtarını ortam değişkeni veya gizli yöneticisinden yükleyin; kaynak kodda asla literal tutmayın.