Gömülü gizli bilgi (ARCH3110)

Anahtar typescript.security.hardcoded-secret · Önem error · Kategori security · CWE CWE-798

Gizli bilgileri, API anahtarlarını, parolaları ve özel anahtarları kaynak kodda string literal olarak tutmak, kod deposuna erişen herkesin onları ele geçirmesine olanak tanır. Bunları yapılandırmadan okuyun.

Hatalı

const stripe = new Stripe("sk_live_51H8xY2eZvKf9aBcDeFgHiJkL");

Doğru

const stripe = new Stripe(process.env.STRIPE_SECRET_KEY!);

Düzeltme

Gizli bilgileri ortam değişkenleri veya gizli yöneticisinden yükleyin; kaynak kontrolünden uzak tutun.