CA5383: Sicherstellen, dass sichere Cookies in ASP.NET Core verwendet werden

Artikel
02/14/2024

Eigenschaft	Wert
Regel-ID	CA5383
Titel	Sicherstellen, dass sichere Cookies in ASP.NET Core verwendet werden
Kategorie	Security
Fix führt oder führt nicht zur Unterbrechung	Nicht unterbrechend
Standardmäßig in .NET 8 aktiviert	Nein

Ursache

Die Eigenschaft Microsoft.AspNetCore.Http.CookieOptions.Secure wird beim Aufruf von Microsoft.AspNetCore.Http.IResponseCookies.Append auf false festgelegt. Die Regel berücksichtigt derzeit nur die Microsoft.AspNetCore.Http.Internal.ResponseCookies-Klasse, die eine der Implementierungen von IResponseCookies ist.

Diese Regel ähnelt CA5382. Die Analyse kann allerdings nicht feststellen, ob die Eigenschaft Secure definitiv auf false oder gar nicht festgelegt wurde.

Standardmäßig analysiert diese Regel die gesamte Codebasis, allerdings ist dies konfigurierbar.

Regelbeschreibung

Über HTTPS verfügbare Anwendungen müssen sichere Cookies verwenden, die den Browser anweisen, das Cookie nur mit TLS (Transport Layer Security) zu übertragen.

Behandeln von Verstößen

Legen Sie die Eigenschaft Secure unter allen Umständen als true fest.

Wann sollten Warnungen unterdrückt werden?

Wenn Cookies standardmäßig als sicher konfiguriert werden, zum Beispiel bei der Verwendung von Microsoft.AspNetCore.CookiePolicy.CookiePolicyMiddleware in Startup.Configure:

public class Startup
{
    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        app.UseCookiePolicy(
            new CookiePolicyOptions
            {
                Secure = CookieSecurePolicy.Always
            });
    }
}

Wenn Sie sicher sind, dass keine vertraulichen Daten in den Cookies vorhanden sind.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA5383
// The code that's violating the rule is on this line.
#pragma warning restore CA5383

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der Konfigurationsdatei auf none fest.

[*.{cs,vb}]
dotnet_diagnostic.CA5383.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Konfigurieren des zu analysierenden Codes

Mithilfe der folgenden Optionen können Sie konfigurieren, für welche Teile Ihrer Codebasis diese Regel ausgeführt werden soll.

Ausschließen bestimmter Symbole
Ausschließen bestimmter Typen und von diesen abgeleiteten Typen

Sie können diese Optionen nur für diese Regel, für alle zutreffenden Regeln oder für alle zutreffenden Regeln in dieser Kategorie (Sicherheit) konfigurieren. Weitere Informationen finden Sie unter Konfigurationsoptionen für die Codequalitätsregel.

Ausschließen bestimmter Symbole

Sie können bestimmte Symbole, z. B. Typen und Methoden, von der Analyse ausschließen. Sie können beispielsweise festlegen, dass die Regel nicht für Code innerhalb von Typen namens MyType ausgeführt werden soll, indem Sie einer EDITORCONFIG-Datei in Ihrem Projekt das folgende Schlüssel-Wert-Paar hinzufügen:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Zulässige Formate für Symbolnamen im Optionswert (durch | getrennt):

Nur Symbolname (schließt alle Symbole mit dem Namen ein, unabhängig vom enthaltenden Typ oder Namespace)
Vollqualifizierte Namen im Format der Dokumentations-ID des Symbols Jeder Symbolname erfordert ein Symbolartpräfix, z. B. M: für Methoden, T: für Typen und N: für Namespaces.
.ctor für Konstruktoren und .cctor für statische Konstruktoren

Beispiele:

Optionswert	Zusammenfassung
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Trifft auf alle Symbole namens `MyType` zu
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Trifft auf alle Symbole namens `MyType1` oder `MyType2` zu
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Trifft speziell auf die Methode `MyMethod` mit der angegebenen vollqualifizierten Signatur zu
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Trifft speziell auf die Methoden `MyMethod1` und `MyMethod2` mit den jeweiligen vollqualifizierten Signaturen zu

Ausschließen bestimmter Typen und von diesen abgeleiteten Typen

Sie können bestimmte Typen und von diesen abgeleitete Typen aus der Analyse ausschließen. Wenn Sie z. B. festlegen möchten, dass die Regel nicht für Methoden innerhalb von MyType-Typen und von diesen abgeleiteten Typen ausgeführt werden soll, fügen Sie einer EDITORCONFIG-Datei in Ihrem Projekt das folgende Schlüssel-Wert-Paar hinzu:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Zulässige Formate für Symbolnamen im Optionswert (durch | getrennt):

Nur Typname (schließt alle Typen mit dem Namen ein, unabhängig vom enthaltenden Typ oder Namespace)
Vollqualifizierte Namen im Dokumentations-ID-Format des Symbols mit einem optionalen Präfix T:

Beispiele:

Optionswert	Zusammenfassung
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	Stimmt mit allen `MyType`-Typen und allen von diesen abgeleiteten Typen überein.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	Stimmt mit allen `MyType1`- oder `MyType2`-Typen und allen von diesen abgeleiteten Typen überein.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	Stimmt mit einem bestimmten `MyType`-Typ mit einem angegebenen vollqualifizierten Namen und allen von diesem abgeleiteten Typen überein.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	Stimmt mit bestimmten `MyType1`- und `MyType2`-Typen mit den entsprechenden vollqualifizierten Namen und allen von diesen abgeleiteten Typen überein.

Beispiel

Der folgende Ausschnitt veranschaulicht das von dieser Regel erkannte Muster.

Verstoß:

using System;
using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = false;
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            cookieOptions.Secure = true;
        }

        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}

Lösung:

using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = true;
        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}

Freigeben über