CA5369：将 XmlReader 用于反序列化

项目
09/07/2023

属性	值
规则 ID	CA5369
标题	将 XmlReader 用于反序列化
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 8 中默认启用	否

原因

反序列化具有未使用 XmlReader 对象实例化的 XmlSerializer.Deserialize 的不受信任 XML 输入可能会导致拒绝服务、信息泄露和服务器端请求伪造攻击。不受信任的 DTD 和 XML 架构处理使这些攻击成为可能，这使攻击者能在 XML 中包含 XML 炸弹和恶意的外部实体。只有使用 XmlReader 才可以禁用 DTD。在 .NET Framework 4.0 及更高版本中，作为 XmlReader 的内联 XML 架构处理会默认将 ProhibitDtd 和 ProcessInlineSchema 属性设置为 false。其他选项（例如 Stream、TextReader 和 XmlSerializationReader）不能禁用 DTD 处理。

规则说明

处理不受信任的 DTD 和 XML 架构时可能会加载危险的外部引用，应使用具有安全解析程序或禁用了 DTD 和 XML 内联架构处理的 XmlReader 来限制这种行为。此规则检测使用 XmlSerializer.Deserialize 方法的代码，而不将 XmlReader 作为构造函数参数。

如何解决冲突

请勿使用 Deserialize(XmlReader)、Deserialize(XmlReader, String)、Deserialize(XmlReader, XmlDeserializationEvents) 或 Deserialize(XmlReader, String, XmlDeserializationEvents) 之外的 XmlSerializer.Deserialize 重载。

何时禁止显示警告

如果已解析的 XML 来自受信任的源，并且因此无法对其进行篡改，则可禁止显示此警告。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA5369
// The code that's violating the rule is on this line.
#pragma warning restore CA5369

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA5369.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

冲突

下面的伪代码示例演示了此规则可检测的情况。 XmlSerializer.Deserialize 的第一个参数的类型不是 XmlReader 或其派生类。

using System.IO;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass).Deserialize(new FileStream("filename", FileMode.Open));

解决方案

using System.IO;
using System.Xml;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass)).Deserialize(XmlReader.Create (new FileStream("filename", FileMode.Open)));