CA5400: HttpClient 인증서 해지 목록 확인을 사용하지 않도록 설정하지 않았는지 확인

속성	값
규칙 ID	CA5400
제목	HttpClient 인증서 해지 목록 확인이 비활성화되지 않았는지 확인합니다.
범주	보안
수정 사항이 호환성을 깨뜨리는지 여부 또는 무중단인지 여부	주요 변경 아님
.NET 10에서 기본적으로 사용하도록 설정	아니요
적용 가능한 언어	C# 및 Visual Basic

원인

System.Net.Http.HttpClient 속성이 System.Net.Http.WinHttpHandler로 설정될 수 있는 플랫폼별 처리기(System.Net.Http.HttpClientHandler 또는 CheckCertificateRevocationList)를 제공하면서 false를 사용하면 해지된 인증서를 HttpClient에서 유효한 것으로 사용할 수 있도록 허용됩니다.

이 규칙은 CA5399와 비슷하지만, 분석에서 CheckCertificateRevocationList 속성이 명확하게 false로 설정되었는지를 확인할 수 없습니다.

규칙 설명

해지된 인증서를 더 이상 신뢰할 수 없습니다. 공격자가 HTTPS 통신에서 악성 데이터를 전달하거나 중요한 데이터를 도용하는 데 사용할 수 있습니다.

위반 문제를 해결하는 방법

System.Net.Http.HttpClientHandler.CheckCertificateRevocationList 속성을 true로 명시적으로 설정합니다. CheckCertificateRevocationList 속성을 사용할 수 없는 경우 대상 프레임워크를 업그레이드해야 합니다.

경고를 표시하지 않는 경우

CheckCertificateRevocationList 속성이 올바르게 설정되어 있는지 확인되었다면 이 규칙을 비활성화해도 안전합니다.

경고 표시 안 함

단일 위반을 억제하려면 원본 파일에 전처리기 지시문을 추가하여 규칙을 비활성화한 후 다시 활성화하십시오.

#pragma warning disable CA5400
// The code that's violating the rule is on this line.
#pragma warning restore CA5400

파일, 폴더 또는 프로젝트에 대한 규칙을 사용하지 않으려면 구성 파일에서 none의 심각도를 설정합니다.

[*.{cs,vb}]
dotnet_diagnostic.CA5400.severity = none

자세한 내용은 방법: 코드 분석 경고 표시 안 함을 참조하세요.

분석할 코드 구성

다음 옵션을 사용하여 이 규칙이 실행될 코드베이스 부분을 구성합니다.

특정 기호 제외
특정 형식 및 해당 파생 형식 제외

이 규칙, 적용되는 모든 규칙 또는 적용되는 이 범주(보안)의 모든 규칙에 대해 이 옵션을 구성할 수 있습니다. 자세한 내용은 코드 품질 규칙 구성 옵션을 참조하세요.

특정 기호 제외

excluded_symbol_names 옵션을 설정하여 분석에서 형식 및 메서드와 같은 특정 기호를 제외할 수 있습니다. 예를 들어 MyType이라는 형식 내 코드에서 규칙을 실행하지 않도록 지정하려면 프로젝트의 .editorconfig 파일에 다음 키-값 쌍을 추가합니다.

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

메모

XXXX CAXXXX 부분을 해당 규칙의 ID로 바꿉니다.

옵션 값의 허용되는 기호 이름 형식(|로 구분):

기호 이름만(포함하는 형식 또는 네임스페이스와 관계없이 해당 이름의 모든 기호 포함).
기호의 설명서 ID 형식에 있는 정규화된 이름. 각 기호 이름에는 메서드의 경우 M:, 형식의 경우 T:, 네임스페이스의 경우 N:과 같은 기호 종류 접두사가 필요합니다.
생성자의 경우 .ctor이고 정적 생성자의 경우 .cctor입니다.

예:

옵션 값	요약
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	`MyType`이라는 모든 기호와 일치합니다.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	`MyType1` 또는 `MyType2`라는 모든 기호와 일치합니다.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	특정 메서드 `MyMethod`를 지정된 정규화된 시그니처와 비교합니다.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	특정 메서드 `MyMethod1` 및 `MyMethod2`를 개별 정규화된 시그니처와 비교합니다.

특정 형식 및 해당 파생 형식 제외

excluded_type_names_with_derived_types 옵션을 설정하여 분석에서 특정 형식 및 해당 파생 형식을 제외할 수 있습니다. 예를 들어 MyType이라는 형식 및 해당 파생 형식 내에 있는 메서드에서 규칙이 실행되지 않도록 지정하려면 프로젝트의 .editorconfig 파일에 다음 키-값 쌍을 추가합니다.

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

메모

XXXX CAXXXX 부분을 해당 규칙의 ID로 바꿉니다.

옵션 값의 허용되는 기호 이름 형식(|로 구분):

형식 이름만(포함하는 형식이나 네임스페이스와 관계없이 해당 이름의 모든 형식 포함)
기호의 설명서 ID 형식에 있는 정규화된 이름(선택적 T: 접두사 포함)

예:

옵션 값	요약
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	`MyType`이라는 모든 형식 및 모든 해당 파생 형식과 일치합니다.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	`MyType1` 또는 `MyType2`라는 모든 형식 및 모든 해당 파생 형식과 일치합니다.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	지정된 정규화된 이름과 관련된 특정 `MyType` 형식 및 해당 모든 파생 형식과 일치합니다.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	`MyType1`, `MyType2` 특정 형식과 해당 파생 형식을 각 개별 정규화된 이름과 일치시킵니다.

의사 코드 예제

using System;
using System.Net.Http;

class ExampleClass
{
    void ExampleMethod(bool checkCertificateRevocationList)
    {
        WinHttpHandler winHttpHandler = new WinHttpHandler();
        winHttpHandler.CheckCertificateRevocationList = checkCertificateRevocationList;
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            winHttpHandler.CheckCertificateRevocationList = true;
        }

        HttpClient httpClient = new HttpClient(winHttpHandler);
    }
}

해결 방법

using System.Net.Http;

class ExampleClass
{
    void ExampleMethod()
    {
        WinHttpHandler winHttpHandler = new WinHttpHandler();
        winHttpHandler.CheckCertificateRevocationList = true;
        HttpClient httpClient = new HttpClient(winHttpHandler);
    }
}

피드백

이 페이지가 도움이 되었나요?

Last updated on 2026-04-02