CA3061: URL'ye göre şema eklemeyin

Özellik	Değer
Kural Kimliği	CA3061
Başlık	URL ile şema eklemeyin
Kategori	Güvenlik
Düzeltme bozucu ya da bozmayan olabilir	Kesintisiz
.NET 10'da varsayılan olarak etkin	Hayır
Geçerli diller	C# ve Visual Basic

Neden

XmlSchemaCollection.Add(String, String) aşırı yüklemesi, dış XML şemasını URI biçiminde belirtmek için XmlUrlResolver kullanıyor. URI Dizesi bozuksa, xml bombalarının ve kötü amaçlı dış varlıkların eklenmesini sağlayan kötü amaçlı bir XML şemasının ayrıştırılmasına yol açabilir. Bu, kötü amaçlı bir saldırganın hizmet reddi, bilgilerin açığa çıkması veya sunucu tarafı istek sahteciliği saldırısı gerçekleştirmesine olanak sağlayabilir.

Kural açıklaması

Güvenli olmayan Add yönteminin aşırı yüklemesini tehlikeli dış başvurulara neden olabileceğinden kullanmayın.

İhlalleri düzeltme

• kullanmayın XmlSchemaCollection.Add(String, String).

Uyarıların ne zaman bastırılması gerekiyor?

XML'nizin tehlikeli dış başvuruları çözümlemediğinden eminseniz bu kuralı gizleyin.

Uyarıyı gizleme

Yalnızca tek bir ihlali engellemek istiyorsanız, kuralı devre dışı bırakmak ve sonra yeniden etkinleştirmek için kaynak dosyanıza ön işlemci yönergeleri ekleyin.

#pragma warning disable CA3061
// The code that's violating the rule is on this line.
#pragma warning restore CA3061

Bir dosya, klasör veya projenin kuralını devre dışı bırakmak için, yapılandırma dosyasındaki önem derecesini noneolarak ayarlayın.

[*.{cs,vb}]
dotnet_diagnostic.CA3061.severity = none

Daha fazla bilgi için bkz . Kod analizi uyarılarını gizleme.

Sahte kod örnekleri

Ihlal

Aşağıdaki sahte kod örneği, bu kural tarafından algılanan deseni gösterir. İkinci parametrenin türü olur string.

using System;
using System.Xml.Schema;
...
XmlSchemaCollection xsc = new XmlSchemaCollection();
xsc.Add("urn: bookstore - schema", "books.xsd");

Çözüm

using System;
using System.IO;
using System.Xml;
using System.Xml.Schema;
...
XmlSchemaCollection xsc = new XmlSchemaCollection();
xsc.Add("urn: bookstore - schema", new XmlTextReader(new FileStream(""xmlFilename"", FileMode.Open)));