CA5372: Verwenden Sie XmlReader für XPathDocument.

Eigenschaft	Wert
Regel-ID	CA5372
Titel	Verwenden Sie XmlReader für XPathDocument.
Kategorie	Security
Fix führt zu Unterbrechungen oder bleibt funktionsfähig	Untrennbar
Standardmäßig in .NET 10 aktiviert	Nein
Anwendbare Sprachen	C# und Visual Basic

Ursache

Die Verwendung der XPathDocument-Klasse, instanziiert ohne ein XmlReader-Objekt, kann möglicherweise zu Denial-of-Service, Offenlegung von Informationen und serverseitigen Anforderungsfälschungsangriffen führen. Diese Angriffe werden durch nicht vertrauenswürdige DTD-und XML-Schemaverarbeitung ermöglicht, sodass XML-Bomben und schädliche externe Entitäten in den XML-Code eingefügt werden können. Nur mit XmlReader kann DTD deaktiviert werden. Bei der Inline-XML-Schemaverarbeitung als XmlReader, ist die ProhibitDtd- und ProcessInlineSchema-Eigenschaft standardmäßig auf „false“ in der .NET Framework-Version ab 4.0 festgelegt. Die anderen Optionen, wie z. b. Stream, TextReader und XmlSerializationReader, können die DTD-Verarbeitung nicht deaktivieren.

Regelbeschreibung

Durch die Verarbeitung von XML aus nicht vertrauenswürdigen Daten können potenziell gefährliche externe Verweise geladen werden. Dies kann durch die Verwendung eines XmlReader mit einem sicheren Resolver oder durch das Deaktivieren der DTD-Verarbeitung eingeschränkt werden. Mit dieser Regel wird Code erkannt, der die XPathDocument-Klasse und nicht XmlReader als Konstruktorparameter verwendet.

So beheben Sie Verstöße

Verwenden Sie XPathDocument(XmlReader, *)-Konstruktoren.

Wann sollten Warnungen unterdrückt werden?

Sie können diese Warnung möglicherweise unterdrücken, wenn das XPathDocument-Objekt dazu verwendet wird, die XML-Datei zu verarbeiten, die von einer vertrauenswürdigen Quelle stammt und daher nicht manipuliert werden kann.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA5372
// The code that's violating the rule is on this line.
#pragma warning restore CA5372

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad auf none in der Konfigurationsdatei fest.

[*.{cs,vb}]
dotnet_diagnostic.CA5372.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Pseudocodebeispiele

Verletzung

Das folgende Pseudocodebeispiel veranschaulicht das von dieser Regel erkannte Muster. Der Typ des ersten Parameters von XPathDocument ist nicht XmlReader.

using System.IO;
using System.Xml.XPath;
...
public void TestMethod(Stream stream)
{
    var obj = new XPathDocument(stream);
}

Lösung

using System.Xml;
using System.Xml.XPath;
...
public void TestMethod(XmlReader reader)
{
    var obj = new XPathDocument(reader);
}