CA2356: Web seri durumdan çıkarılmış nesne grafında güvenli olmayan DataSet veya DataTable türü
| Özellik | Değer |
|---|---|
| Kural Kimliği | CA2356 |
| Başlık | Seri durumdan çıkarılmış web nesne grafındaki güvenli olmayan DataSet veya DataTable türü |
| Kategori | Güvenlik |
| Hataya neden olan veya bozulmayan düzeltme | Hataya neden olmayan |
| .NET 9'da varsayılan olarak etkin | Hayır |
Neden
veya içeren bir System.Web.Services.WebMethodAttribute yöntemin veya System.ServiceModel.OperationContractAttribute DataTableöğesine başvurabilen bir DataSet parametresi vardır.
Bu kural, ca2355 gibi benzer bir kurala farklı bir yaklaşım kullanır: Seri durumdan çıkarılmış nesne grafında Güvenli Olmayan DataSet veya DataTable ve farklı uyarılar bulur.
Kural açıklaması
Güvenilmeyen girişi seri durumdan çıkarırken ve seri durumdan çıkarılmış nesne grafı veya DataSet DataTableiçerdiğinde, bir saldırgan hizmet reddi saldırısı gerçekleştirmek için kötü amaçlı bir yük oluşturabilir. Bilinmeyen uzaktan kod yürütme güvenlik açıkları olabilir.
Daha fazla bilgi için bkz . DataSet ve DataTable güvenlik kılavuzu.
İhlalleri düzeltme
- Mümkünse ve DataTableyerine DataSet Entity Framework kullanın.
- Serileştirilmiş verilerin kurcalanmaya karşı dayanıklı olmasını sağlayın. Serileştirmeden sonra, serileştirilmiş verileri şifreli olarak imzalayın. Seri durumdan çıkarmadan önce şifreleme imzasını doğrulayın. Şifreleme anahtarının açıklanmasını önleyip anahtar döndürmeleri için tasarım yapma.
Uyarıların ne zaman bastırılması gerekiyor?
Aşağıdakiler durumunda bu kuraldan gelen bir uyarıyı engellemek güvenlidir:
- Girişin güvenilir olduğunu biliyorsunuz. Uygulamanızın güven sınırının ve veri akışlarının zaman içinde değişebileceğini göz önünde bulundurun.
- İhlalleri düzeltme bölümünde yer alan önlemlerden birini aldıysanız.
Uyarıyı gizleme
Yalnızca tek bir ihlali engellemek istiyorsanız, kuralı devre dışı bırakmak ve sonra yeniden etkinleştirmek için kaynak dosyanıza ön işlemci yönergeleri ekleyin.
#pragma warning disable CA2356
// The code that's violating the rule is on this line.
#pragma warning restore CA2356
Bir dosya, klasör veya projenin kuralını devre dışı bırakmak için, yapılandırma dosyasındaki önem derecesini none olarak ayarlayın.
[*.{cs,vb}]
dotnet_diagnostic.CA2356.severity = none
Daha fazla bilgi için bkz . Kod analizi uyarılarını gizleme.
Sahte kod örnekleri
Ihlal
using System;
using System.Data;
using System.Web.Services;
[WebService(Namespace = "http://contoso.example.com/")]
public class MyService : WebService
{
[WebMethod]
public string MyWebMethod(DataTable dataTable)
{
return null;
}
}
İlgili kurallar
CA2350: DataTable.ReadXml() girişinin güvenilir olduğundan emin olun
CA2351: DataSet.ReadXml() girişinin güvenilir olduğundan emin olun
CA2353: Seri hale getirilebilir türde güvenli olmayan DataSet veya DataTable
CA2355: Seri durumdan çıkarılmış nesne grafında güvenli olmayan DataSet veya DataTable
CA2361: DataSet.ReadXml() girişinin güvenilir olduğundan emin olun
