Regel
entfernen Fehlersuche und temporären Code vor Übertragungen. 
Code der umgeht Logik umgeht, gibt  aus. Fehlersuche Info ausgibt,
oder stoppt Ausführung für Fehlersuche war wahrscheinlich 
links zurückgelassen versehentlich während der Entwicklung.

Unterstützte Sprachen: 45+

Einführung

Debugging-Code, console.log() Anweisungen, auskommentierte Logik, festcodierte Testwerte oder Debugger Haltepunkte, werden häufiger in die Produktion übernommen, als die meisten Teams zugeben. Diese Artefakte geben den internen Zustand der Anwendung preis, verursachen einen Leistungs-Overhead und signalisieren Angreifern, welche Teile Ihrer Codebasis während der Entwicklung problematisch waren. Was als temporärer Code zur Fehlerbehebung beginnt, wird zu einem permanenten Sicherheitsrisiko, wenn es nicht vor der Bereitstellung entfernt wird.

Warum das wichtig ist

Auswirkungen auf die Sicherheit: Debug-Code in der Produktion protokolliert oft sensible Daten wie Benutzeranmeldeinformationen, API-Schlüssel oder persönliche Daten, die nicht in die Produktionsprotokolle gelangen sollten.
A console.log(benutzer) Anweisung kann ein komplettes Benutzerobjekt einschließlich der Sitzungs-Tokens in die Browser-Konsole oder Server-Protokolle übertragen werden, die für Support-Mitarbeiter oder Protokoll-Aggregations-Tools zugänglich sind. Dies ist eine der häufigsten Code-Sicherheitsschwachstellen, die von automatisierten Code-Review-Tools erkannt werden.

Auswirkungen auf die Leistung: Übermäßiges Konsolenprotokollieren führt zu E/A-Engpässen. Ein Endpunkt mit hohem Datenverkehr, der die Nutzdaten von Anfragen protokolliert, kann die Antwortzeiten um 15-30 ms pro Anfrage verschlechtern und die Kosten für die Protokollspeicherung in die Höhe treiben. Die Auswirkungen der Protokollierung auf die Leistung in Node.js-Produktionsumgebungen nehmen im großen Maßstab schnell zu.

Wartbarkeit des Codes: Temporäre Codeübertragungen wie if (true) return; oder
‍// TODO: fix later umgehen die Geschäftslogik und stiften Verwirrung für künftige Betreuer. Sie stellen technische Schulden ohne Dokumentationspfad dar.

Erweiterung der Angriffsfläche: Debugger-Anweisungen und ausführliche Fehlerprotokolle geben Aufschluss über Stack Traces, Dateipfade, Abhängigkeitsversionen und den internen Logikfluss - Informationen, die bei gezielten Angriffen zur Aufklärung beitragen.

Code-Beispiele

❌ Nicht konform:

async function processPayment(userId, amount) {
  console.log('Processing payment:', { userId, amount });

  const user = await db.users.findById(userId);
  console.log('User data:', user); // Logs email, tokens, everything

  debugger;

  const result = await paymentGateway.charge({
    userId: user.id,
    amount: amount
  });

  console.log('Gateway response:', result);
  return result;
}

Warum dies unsicher ist: Konsolenanweisungen protokollieren PII (Personally Identifiable Information) und Authentifizierungstoken in den Produktionsprotokollen. Der kommentierte Debugger schafft Unklarheit über Ausführungspfade. Alle diese Daten sind für jeden zugänglich, der Zugriff auf die Protokolle hat, und liefern Angreifern Aufklärungsdaten.

✅ Konform:

async function processPayment(userId, amount) {
  const user = await db.users.findById(userId);

  if (!user) {
    throw new PaymentError('User not found');
  }

  const result = await paymentGateway.charge({
    userId: user.id,
    amount: amount
  });

  await auditLog.record({
    event: 'PAYMENT_PROCESSED',
    userId: userId,
    transactionId: result.transactionId
  });

  return result;
}

Warum dies sicher ist: Die strukturierte Protokollierung ersetzt die console.log mit ordnungsgemäßen Prüfpfaden, die Geschäftsereignisse erfassen, ohne sensible Benutzerdaten preiszugeben. Es gibt keine Debug-Anweisungen. Die Logik verläuft linear ohne bedingte Umgehungen. Audit-Protokolle sind zentralisiert, zugriffsgesteuert und enthalten nur den für die compliance und die Fehlersuche erforderlichen Kontext.

Schlussfolgerung

Fehlerhafter Code in der Produktion ist kein unbedeutendes Problem, sondern eine Sicherheitslücke, eine Belastung für die Leistung und eine Belastung für die Wartung. Wenn Sie die Best Practices für eine sichere Codeüberprüfung befolgen, können Sie diese Probleme abfangen, bevor sie den Hauptzweig erreichen. Automatisierte Codequalitätsregeln sollten verhindern, dass debuggender Code in die Versionskontrolle gelangt, geschweige denn in die Produktion. Der Schlüssel liegt in den richtigen Werkzeugen, um diese Probleme zu erkennen, bevor sie zusammengeführt werden.