入れ子と配列の中の接続文字列・API キー

設定の中の接続文字列と、配列の要素ごとの API キーの例です。項目名の書き方が camelCase とハイフン区切りで違っても、パスで場所を示して伏せることを確かめます。

入力

JSON

{"db":{"connectionString":"Server=x;Password=y","host":"h"},"users":[{"id":1,"apiKey":"k1"},{"id":2,"api-key":"k2"}]}

追加で伏せる項目名(カンマか改行で区切る・省略可)

(空)

置き換える文字

***

結果

エラー 0 件・警告 0 件・情報 4 件

指摘(エラー・警告・情報)

伏せ字にした JSON

{
  "db": {
    "connectionString": "***",
    "host": "h"
  },
  "users": [
    {
      "id": 1,
      "apiKey": "***"
    },
    {
      "id": 2,
      "api-key": "***"
    }
  ]
}

検算(この結果になる理由)

接続文字列は OWASP が除去・マスクの対象に挙げています。connectionString は小文字にして区切りを除いた connectionstring に当たります。apiKey と api-key も apikey になり、合計 3 件を伏せます。host と id は当たりません。調べた項目名は 8 個です。

判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。

このツールの制約

• 判定は項目名の推定だけで、値の中身は見ません。key1 のような一般的でない名前の秘密や、メッセージの文章に混ざった秘密は伏せられません。
• 同じオブジェクトに同じ項目名が重複している場合は、読み込み時に最後の値だけが残ります(RFC 8259 4 節)。また、桁の大きすぎる数は丸められることがあります。
• 個人情報(氏名・住所・メールアドレス・電話番号)は対象外です。必要なら「追加で伏せる項目名」に指定してください。
• JSON Lines(1 行に 1 つの JSON)や、コメントのある JSON5・JSONC は、JSON としてはエラーになります。

ほかの入力例

• ログイン要求の password
• トークン応答の access_token と token_type
• 追加で指定した項目名と [REDACTED]
• 秘密らしい項目名がないとき
• 末尾のカンマで読めない JSON