Paket Bağımlılıkları Güvenlik Denetimi: Pub ve npm Zafiyetlerini Tarama

Projenize eklediğiniz her paket, potansiyel bir güvenlik riski taşıyabilir. Kütüphaneler zaman içinde zafiyetler ortaya çıkabilir ve bu açıklar uygulamanızı tehlikeye atabilir. İyi haber şu ki, npm ve pub gibi paket yöneticileri bu kontrolleri otomatik hale getirmek için araçlar sunuyor.

Flutter projesi açtığınızda, bağımlılıkları kontrol etmek için pub audit komutunu kullanırsınız.

1cd my_flutter_app
2pub audit

Bu komut çalıştığında şöyle bir çıktı görebilirsiniz:

1Scanning pubspec.lock for known vulnerabilities...
2
3Found 1 vulnerability:
4- Package: http
5Vulnerability ID: GHSA-4rgh-jx4p-cwkf
6Severity: HIGH
7Description: Improper verification of SSL certificate
8Affected versions: <0.13.0
9Patched version: >=0.13.0

Eğer zafiyetler bulunursa, pub upgrade ile paketleri güncellemeyi deneyin:

1pub upgrade
2pub audit

Node.js tarafında ise npm audit aynı işi yapar.

1cd my_node_app
2npm audit

Çıktı benzer şekilde zafiyetleri listeler:

1┌───────────────────────────────────────────────────────────────┐
2│ npm audit security report │
3├───────────────────────────────────────────────────────────────┤
4│ High │
5│ Regular Expression Denial of Service in lodash │
6│ Package: lodash │
7│ Patched in: >=4.17.21 │
8│ Dependency of: my-app │
9│ Path: my-app > lodash │
10└───────────────────────────────────────────────────────────────┘

Otomatik düzeltme için npm audit fix komutunu çalıştırın:

1npm audit fix
2npm audit

CI/CD sürecünüze denetim adımı ekleyin. GitHub Actions örneği:

1name: Security Audit
2on: [push, pull_request]
3jobs:
4audit:
5runs-on: ubuntu-latest
6steps:
7- uses: actions/checkout@v3
8- uses: actions/setup-node@v3
9- run: npm audit --audit-level=moderate

Bu yapılandırma, orta seviye ve üzeri zafiyetler bulunursa build'i başarısız kılar.

Düzenli tarama (haftada bir gibi) yapın, çünkü yeni zafiyetler her gün ortaya çıkıyor. Paket yöneticileri veritabanlarını sürekli günceller, bu nedenle eski bir denetim raporu güvenilir olmayabilir.