service_role-Schlüssel im Quellcode
Prüfregel · RSC-SEC-052
- Sicherheit
- Schweregrad: Hoch
- CWE-798
Dekodiert JWTs in Quelldateien und meldet den Rollen-Claim `service_role`; auf dem Syntaxbaum zusätzlich Client-Dateien, die den Schlüssel aus der Umgebung lesen (Kommentare zählen nicht).
Prüfstufe
- Quellcode aus Source Maps
- Repo-Zugang (Deep-Scan)
So behebt ihr es
Schlüssel rotieren, aus dem Code entfernen und nur serverseitig aus der Umgebung lesen.