CA5372：将 XmlReader 用于 XPathDocument

属性	值
规则 ID	CA5372
标题	将 XmlReader 用于 XPathDocument
类别	安全性
修复是导致破坏性更改还是非破坏性更改	非中断
在 .NET 10 中默认启用	否
适用的语言	C# 和 Visual Basic

原因

使用未通过 XPathDocument 对象实例化的 XmlReader 类可能会导致拒绝服务、信息泄露和服务器端请求伪造攻击。 不受信任的 DTD 和 XML 架构处理使这些攻击成为可能，这使攻击者能在 XML 中包含 XML 炸弹和恶意的外部实体。 只有使用 XmlReader 才可以禁用 DTD。 从 .NET Framework 版本 4.0 开始，作为 XmlReader 的内联 XML 架构处理会默认将 ProhibitDtd 和 ProcessInlineSchema 属性设置为 false。 其他选项（例如 Stream、TextReader 和 XmlSerializationReader）不能禁用 DTD 处理。

规则说明

处理来自不受信任数据的 XML 数据时，可能会加载潜在危险的外部实体引用。可以通过使用带有安全解析器的 XmlReader 或禁用 DTD 处理的方式来限制这些引用。 此规则检测使用 XPathDocument 类但不接受 XmlReader 作为构造函数参数的代码。

如何解决违规

使用 XPathDocument(XmlReader, *) 构造函数。

何时禁止显示警告

如果 XPathDocument 对象用于处理来自受信任源的 XML 文件并且因此无法对其进行篡改，则可禁止显示此警告。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA5372
// The code that's violating the rule is on this line.
#pragma warning restore CA5372

若要对文件、文件夹或项目禁用该规则，请在none中将其严重性设置为 。

[*.{cs,vb}]
dotnet_diagnostic.CA5372.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

违规

下面的伪代码示例演示了此规则可检测的情况。 XPathDocument 的第一个参数的类型不是 XmlReader。

using System.IO;
using System.Xml.XPath;
...
public void TestMethod(Stream stream)
{
    var obj = new XPathDocument(stream);
}

解决方案

using System.Xml;
using System.Xml.XPath;
...
public void TestMethod(XmlReader reader)
{
    var obj = new XPathDocument(reader);
}