Kovakoodattuja

Kovakoodattuja tarkoittaa ohjelmoinnissa arvoja, jotka on upotettu suoraan lähdekoodiin sen sijaan, että ne haettaisiin ajon aikana konfiguraatiosta tai salaisuusvarastosta. Yleisiä esimerkkejä ovat merkkijonot, numerot, tiedostopolut sekä yhteysmerkkijonot kuten API-avaimet, tunnukset tai muut salaisuudet.

Kovakoodauksella on useita haittoja. Se hankaloittaa sovelluksen konfigurointia eri ympäristöissä, tekee salaisuuksien kierrätyksen vaikeammaksi ja lisää tietoturvariskiä, jos koodi jaetaan tai sitä pääsee lukemaan. Lisäksi kovakoodatut arvot voivat estää oikean ympäristöriippuvuuden hallinnan ja aiheuttaa ongelmia testauksessa sekä jatkuvissa käyttöönottoissa.

Käytännön konteksteja, joissa kovakoodattuja arvoja esiintyy, ovat usein yhteys- tai palveluyhteyden merkkijonot, tiedostopolut ja joissakin tapauksissa salaisuusarvot. Alkuvaiheessa kehittäminen saattaa johtaa kovakoodaukseen kokeilun nopeuttamiseksi, mutta pitkällä aikavälillä ne tulisi korjata konfiguroitaviksi.

Vältäminen ja korvaaminen: käytä ympäristömuuttujia, konfiguraatiotiedostoja tai erillisiä salaisuuksien hallintajärjestelmiä sekä ajonaikaisesti ladattavia varastoja. Salaisuudet tulisi hakea suojatusta lähteestä. Hyvä käytäntö on lisäksi koodin auditointi ja staattinen analyysi, jonka avulla kovakoodatut arvot voidaan havaita; työkaluina voidaan käyttää esimerkiksi Git-secrets tai TruffleHog sekä projektikohtaisia tarkistusmenetelmiä.