CA2361：请确保包含 DataSet.ReadXml() 的自动生成的类没有与不受信任的数据一起使用

项目
11/15/2023

属性	值
规则 ID	CA2361
标题	请确保包含 DataSet.ReadXml() 的自动生成的类没有与不受信任的数据一起使用
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 8 中默认启用	否

原因

调用或引用了 DataSet.ReadXml 方法，且该方法位于自动生成的代码内。

此规则对自动生成的代码进行分类：

位于名为 ReadXmlSerializable 的方法中。
ReadXmlSerializable 方法具有 System.Diagnostics.DebuggerNonUserCodeAttribute。
ReadXmlSerializable 方法位于具有 System.ComponentModel.DesignerCategoryAttribute 的类型内。

CA2351 是类似的规则，适用于 DataSet.ReadXml 出现在非自动生成的代码中时。

规则说明

对包含不受信任的输入的 DataSet 执行反序列化时，攻击者可能通过创建恶意输入实施拒绝服务攻击。有可能存在未知的远程代码执行漏洞。

此规则类似于 CA2351，但适用于 GUI 应用程序内数据的内存中表示形式的自动生成的代码。通常，这些自动生成的类不会从不受信任的输入中进行反序列化。应用程序的使用可能会有差异。

有关详细信息，请参阅 DataSet 和 DataTable 安全指南。

如何解决冲突

如果可能，请使用实体框架而不是 DataSet。
使序列化的数据免被篡改。序列化后，对序列化的数据进行加密签名。在反序列化之前，验证加密签名。保护加密密钥不被泄露，并针对密钥轮换进行设计。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

已知输入为受信任输入。考虑应用程序的信任边界和数据流可能会随时间发生变化。
你采取了如何修复冲突的某项预防措施。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA2361
// The code that's violating the rule is on this line.
#pragma warning restore CA2361

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA2361.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

冲突

namespace ExampleNamespace
{
    /// <summary>
    ///Represents a strongly typed in-memory cache of data.
    ///</summary>
    [global::System.Serializable()]
    [global::System.ComponentModel.DesignerCategoryAttribute("code")]
    [global::System.ComponentModel.ToolboxItem(true)]
    [global::System.Xml.Serialization.XmlSchemaProviderAttribute("GetTypedDataSetSchema")]
    [global::System.Xml.Serialization.XmlRootAttribute("Package")]
    [global::System.ComponentModel.Design.HelpKeywordAttribute("vs.data.DataSet")]
    public partial class Something : global::System.Data.DataSet {

        [global::System.Diagnostics.DebuggerNonUserCodeAttribute()]
        [global::System.CodeDom.Compiler.GeneratedCodeAttribute("System.Data.Design.TypedDataSetGenerator", "4.0.0.0")]
        protected override void ReadXmlSerializable(global::System.Xml.XmlReader reader) {
            if ((this.DetermineSchemaSerializationMode(reader) == global::System.Data.SchemaSerializationMode.IncludeSchema)) {
                this.Reset();
                global::System.Data.DataSet ds = new global::System.Data.DataSet();
                ds.ReadXml(reader);
                if ((ds.Tables["Something"] != null)) {
                    base.Tables.Add(new SomethingTable(ds.Tables["Something"]));
                }
                this.DataSetName = ds.DataSetName;
                this.Prefix = ds.Prefix;
                this.Namespace = ds.Namespace;
                this.Locale = ds.Locale;
                this.CaseSensitive = ds.CaseSensitive;
                this.EnforceConstraints = ds.EnforceConstraints;
                this.Merge(ds, false, global::System.Data.MissingSchemaAction.Add);
                this.InitVars();
            }
            else {
                this.ReadXml(reader);
                this.InitVars();
            }
        }
    }
}

CA2350:确保 DataTable.ReadXml() 的输入受信任

CA2351:确保 DataSet.ReadXml() 的输入受信任

CA2352:可序列化类型中的不安全 DataSet 或 DataTable 容易受到远程代码执行攻击

CA2353:可序列化类型中的不安全 DataSet 或 DataTable

CA2354:反序列化对象图中的不安全 DataSet 或 DataTable 可能容易受到远程代码执行攻击

CA2355:反序列化对象图中的不安全 DataSet 或 DataTable

CA2356：Web 反序列化对象图中不安全的 DataSet 或 DataTable

CA2362：自动生成的可序列化类型中不安全的数据集或数据表易受远程代码执行攻击