CA2355:反序列化对象图中的不安全 DataSet 或 DataTable

属性	值
规则 ID	CA2355
标题	反序列化对象图中的不安全 DataSet 或 DataTable
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 8 中默认启用	否

原因

当强制转换的或指定的类型的对象图可能包含 DataSet 或 DataTable 类时，进行反序列化。

此规则使用不同的方法来实现类似的规则 CA2353：可序列化类型中不安全的 DataSet 或 DataTable。

当以下情况发生时，将评估强制转换或指定的类型：

• 初始化 DataContractSerializer 对象
• 初始化 DataContractJsonSerializer 对象
• 初始化 XmlSerializer 对象
• 调用 JavaScriptSerializer.Deserialize
• 调用 JavaScriptSerializer.DeserializeObject
• 调用 XmlSerializer.FromTypes
• 调用 Newtonsoft Json.NET JsonSerializer.Deserialize
• 调用 Newtonsoft Json.NET JsonConvert.DeserializeObject

规则说明

当反序列化具有 BinaryFormatter 的不受信任的输入且反序列化的对象图包含 DataSet 或 DataTable 时，攻击者可创建恶意有效负载来执行拒绝服务攻击。 有可能存在未知的远程代码执行漏洞。

有关详细信息，请参阅 DataSet 和 DataTable 安全指南。

如何解决冲突

• 如果可能，请使用实体框架，而不是 DataSet 和 DataTable。
• 使序列化的数据免被篡改。 序列化后，对序列化的数据进行加密签名。 在反序列化之前，验证加密签名。 保护加密密钥不被泄露，并针对密钥轮换进行设计。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

• 已知输入为受信任输入。 考虑应用程序的信任边界和数据流可能会随时间发生变化。
• 你采取了如何修复冲突的某项预防措施。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA2355
// The code that's violating the rule is on this line.
#pragma warning restore CA2355

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA2355.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

冲突

using System.Data;
using System.IO;
using System.Runtime.Serialization;

[Serializable]
public class MyClass
{
    public MyOtherClass OtherClass { get; set; }
}

[Serializable]
public class MyOtherClass
{
    private DataSet myDataSet;
}

public class ExampleClass
{
    public MyClass Deserialize(Stream stream)
    {
        BinaryFormatter bf = new BinaryFormatter();
        return (MyClass) bf.Deserialize(stream);
    }
}

相关规则

CA2350:确保 DataTable.ReadXml() 的输入受信任

CA2351:确保 DataSet.ReadXml() 的输入受信任

CA2352:可序列化类型中的不安全 DataSet 或 DataTable 容易受到远程代码执行攻击

CA2353:可序列化类型中的不安全 DataSet 或 DataTable

CA2354:反序列化对象图中的不安全 DataSet 或 DataTable 可能容易受到远程代码执行攻击

CA2356：Web 反序列化对象图中不安全的 DataSet 或 DataTable

CA2361：请确保包含 DataSet.ReadXml() 的自动生成的类没有与不受信任的数据一起使用

CA2362：自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击