CA3061：请勿按 URL 添加架构

项目
09/07/2023

属性	值
规则 ID	CA3061
标题	请勿按 URL 添加架构
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 8 中默认启用	否

原因

XmlSchemaCollection.Add(String, String) 的重载使用 XmlUrlResolver 以 URI 的形式指定外部 XML 架构。如果 URI 字符串受污染，则可能会导致解析恶意 XML 架构，这使攻击者能包含 XML 炸弹和恶意的外部实体。这可能导致恶意攻击者实施拒绝服务、信息泄露或服务器端请求伪造攻击。

规则说明

请勿使用 Add 方法的不安全重载，因为这可能会导致危险的外部引用。

如何解决冲突

请勿使用 XmlSchemaCollection.Add(String, String)。

何时禁止显示警告

如果确信 XML 不会解析危险的外部引用，则可禁止显示此规则的警告。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA3061
// The code that's violating the rule is on this line.
#pragma warning restore CA3061

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA3061.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

冲突

下面的伪代码示例演示了此规则可检测的情况。第二个参数的类型为 string。

using System;
using System.Xml.Schema;
...
XmlSchemaCollection xsc = new XmlSchemaCollection();
xsc.Add("urn: bookstore - schema", "books.xsd");

解决方案

using System;
using System.IO;
using System.Xml;
using System.Xml.Schema;
...
XmlSchemaCollection xsc = new XmlSchemaCollection();
xsc.Add("urn: bookstore - schema", new XmlTextReader(new FileStream(""xmlFilename"", FileMode.Open)));