CA5362: Potencjalny cykl referencji w deserializowanym grafie obiektów

Właściwości	Wartość
Identyfikator reguły	CA5362
Tytuł	Potencjalny cykl referencyjny w grafie obiektów zdeserializowanych
Kategoria	Bezpieczeństwo
Poprawka łamiąca lub nienaruszająca	Niezgodność
Domyślnie włączone na platformie .NET 10	Nie.
Zastosowane języki	C# i Visual Basic

Przyczyna

Klasa oznaczona symbolem System.SerializableAttribute ma pole lub właściwość, która może odnosić się do obiektu zawierającego bezpośrednio lub pośrednio, co może prowadzić do potencjalnego cyklu referencyjnego.

Opis reguły

Jeśli deserializujesz niezaufane dane, każdy kod przetwarzający deserializowany graf obiektu musi obsługiwać cykle odwołań bez wpadając w nieskończone pętle. Obejmuje to zarówno kod, który jest częścią wywołania zwrotnego deserializacji, jak i kodu, który przetwarza graf obiektu po zakończeniu deserializacji. W przeciwnym razie osoba atakująca może wykonać atak typu "odmowa usługi" ze złośliwymi danymi zawierającymi cykl referencyjny.

Ta reguła nie musi oznaczać luki w zabezpieczeniach, ale jedynie wskazuje na potencjalne cykle odwołań w grafach obiektów po deserializacji.

Jak naprawić naruszenia

Nie serializuj klasy i usuń element SerializableAttribute. Albo przeprojektuj aplikację, aby można było usunąć elementy członkowskie, które odwołują się do siebie, z klasy serializowalnej.

Kiedy pomijać ostrzeżenia

Można bezpiecznie pominąć ostrzeżenie z tej reguły, jeśli:

• Wiesz, że dane wejściowe są zaufane. Należy wziąć pod uwagę, że granica zaufania aplikacji i przepływy danych mogą ulec zmianie w czasie.
• Cały kod przetwarzający dane deserializowane wykrywa cykle odwołań i obsługuje je bez przechodzenia do nieskończonej pętli lub używania nadmiernych zasobów.

Pomijanie ostrzeżenia

Jeśli chcesz po prostu pominąć pojedyncze naruszenie, dodaj dyrektywy preprocesora do pliku źródłowego, aby wyłączyć, a następnie ponownie włączyć regułę.

#pragma warning disable CA5362
// The code that's violating the rule is on this line.
#pragma warning restore CA5362

Aby wyłączyć regułę dla pliku, folderu lub projektu, ustaw jego ważność na none w pliku konfiguracji.

[*.{cs,vb}]
dotnet_diagnostic.CA5362.severity = none

Aby uzyskać więcej informacji, zobacz Jak pominąć ostrzeżenia dotyczące analizy kodu.

Przykłady pseudokodu

Potencjalne naruszenie cyklu referencyjnego

using System;

[Serializable()]
class ExampleClass
{
    public ExampleClass ExampleProperty {get; set;}

    public int NormalProperty {get; set;}
}

class AnotherClass
{
    // The argument passed by could be `JsonConvert.DeserializeObject<ExampleClass>(untrustedData)`.
    public void AnotherMethod(ExampleClass ec)
    {
        while(ec != null)
        {
            Console.WriteLine(ec.ToString());
            ec = ec.ExampleProperty;
        }
    }
}

Rozwiązanie

using System;

[Serializable()]
class ExampleClass
{
    [NonSerialized]
    public ExampleClass ExampleProperty {get; set;}

    public int NormalProperty {get; set;}
}

class AnotherClass
{
    // The argument passed by could be `JsonConvert.DeserializeObject<ExampleClass>(untrustedData)`.
    public void AnotherMethod(ExampleClass ec)
    {
        while(ec != null)
        {
            Console.WriteLine(ec.ToString());
            ec = ec.ExampleProperty;
        }
    }
}