Regel
entfernen Fehlersuche und temporären Code vor Übertragungen. 
Code der umgeht Logik umgeht, gibt  aus. Fehlersuche Info ausgibt,
oder stoppt Ausführung für Fehlersuche war wahrscheinlich 
links zurückgelassen versehentlich während der Entwicklung.

Unterstützte Sprachen: 45+

Einleitung

Debugging-Code, console.log() Anweisungen, auskommentierte Logik, fest codierte Testwerte oder debugger Breakpoints gelangen häufiger in die Produktion, als die meisten Teams zugeben. Diese Artefakte legen den internen Anwendungsstatus offen, erzeugen Performance-Overhead und signalisieren Angreifern, welche Teile Ihrer Codebasis während der Entwicklung problematisch waren. Was als temporärer Code zur Fehlerbehebung beginnt, wird zu einem dauerhaften Sicherheitsrisiko, wenn er nicht vor der Bereitstellung entfernt wird.

Warum es wichtig ist

Sicherheitsimplikationen: Debug-Code in der Produktion protokolliert oft sensible Daten wie Benutzeranmeldeinformationen, API-Schlüssel oder PII, die nicht in Produktionsprotokolle gelangen sollten.
A console.log(user) Anweisung könnte ein vollständiges Benutzerobjekt einschließlich Session-Tokens in die Browserkonsole oder Server-Logs ausgeben, die für Support-Mitarbeitende oder Log-Aggregations-Tools zugänglich sind. Dies ist eine der häufigsten Code-Sicherheitslücken, die automatisierte Code-Review-Tools erkennen.

Leistungsauswirkungen: Übermäßiges Konsolen-Logging erzeugt einen I/O-Engpass. Ein Endpunkt mit hohem Datenverkehr, der Anforderungs-Payloads protokolliert, kann die Antwortzeiten um 15-30 ms pro Anfrage verschlechtern und die Kosten für die Log-Speicherung erhöhen. Die Leistungsauswirkungen des Loggings in Node.js-Produktionsumgebungen verstärken sich bei Skalierung schnell.

Code-Wartbarkeit: Temporäre Code-Commits wie if (true) return; oder
​// TODO: fix later Geschäftslogik umgehen und Verwirrung für zukünftige Wartende stiften. Sie stellen technische Schulden ohne Dokumentationspfad dar.

Erweiterung der Angriffsfläche: Debugger-Anweisungen und ausführliche Fehlerprotokollierung offenbaren Stack-Traces, Dateipfade, Abhängigkeitsversionen und den internen Logikfluss – Informationen, die für die Aufklärung bei gezielten Angriffen nützlich sind.

Code-Beispiele

❌ Nicht konform:

async function processPayment(userId, amount) {
  console.log('Processing payment:', { userId, amount });

  const user = await db.users.findById(userId);
  console.log('User data:', user); // Logs email, tokens, everything

  debugger;

  const result = await paymentGateway.charge({
    userId: user.id,
    amount: amount
  });

  console.log('Gateway response:', result);
  return result;
}

Warum dies unsicher ist: Konsolenanweisungen protokollieren PII (personenbezogene Daten) und Authentifizierungs-Tokens in Produktionsprotokollen. Der auskommentierte Debugger schafft Unklarheit über Ausführungspfade. Alle diese Daten sind für jeden mit Log-Zugriff zugänglich und liefern Angreifern Aufklärungsdaten.

✅ Konform:

async function processPayment(userId, amount) {
  const user = await db.users.findById(userId);

  if (!user) {
    throw new PaymentError('User not found');
  }

  const result = await paymentGateway.charge({
    userId: user.id,
    amount: amount
  });

  await auditLog.record({
    event: 'PAYMENT_PROCESSED',
    userId: userId,
    transactionId: result.transactionId
  });

  return result;
}

Warum dies sicher ist: Strukturiertes Logging ersetzt console.log mit ordnungsgemäßen Audit-Trails, die Geschäftsereignisse erfassen, ohne sensible Nutzerdaten offenzulegen. Es gibt keine Debug-Statements. Die Logik fließt linear ohne bedingte Umgehungen. Audit-Logs sind zentralisiert, zugriffsgesteuert und enthalten nur den notwendigen Kontext für Compliance und Debugging.

Fazit

Debug-Code in der Produktion ist kein kleines Problem, sondern eine Sicherheitslücke, eine Performance-Belastung und ein Wartungsaufwand. Die Einhaltung bewährter Praktiken für sichere Code-Reviews bedeutet, diese Probleme zu erkennen, bevor sie Ihren Hauptzweig erreichen. Automatisierte Code-Quality-Regeln sollten verhindern, dass Debugging-Code die Versionskontrolle erreicht, geschweige denn die Produktion. Der Schlüssel liegt in den richtigen Tools, um diese Probleme vor dem Merge zu erkennen.