Eksik yetkilendirme (ARCH3120)

Anahtar typescript.security.missing-authorization · Önem warning · Kategori security · CWE CWE-862

Hassas eylemleri kimlik doğrulama/yetkilendirme koruması olmadan sunmak, herkesin korunan kaynaklara erişmesine olanak tanır. Her duyarlı rotaya bir yetki kontrolü uygulayın.

Hatalı

app.delete("/admin/users/:id", async (req, res) => {
  await User.destroy({ where: { id: req.params.id } });
  res.sendStatus(204);
});

Doğru

app.delete("/admin/users/:id", requireRole("admin"), async (req, res) => {
  await User.destroy({ where: { id: req.params.id } });
  res.sendStatus(204);
});

Düzeltme

Korunan tüm rotalara kimlik doğrulama ve rol/sahiplik tabanlı yetkilendirme middleware’i ekleyin.