CA5370：請使用 XmlReader 驗證讀取器

文章
09/07/2023

屬性	值
規則識別碼	CA5370
標題	請使用 XmlReader 驗證讀取器
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

使用 XmlValidatingReader 具現化而未 XmlReader 具現化的類別驗證不受信任的 XML 輸入，可能會導致阻斷服務、資訊洩漏和伺服器端要求偽造。這些攻擊是由不受信任的 DTD 和 XML 架構處理所啟用，可允許在 XML 中包含 XML 炸彈和惡意外部實體。只有， XmlReader 才能停用 DTD。從 4.0 版開始，內嵌 XML 架構處理和 XmlReaderProhibitDtdProcessInlineSchema 屬性預設會在 .NET Framework 中設定為。 false

檔案描述

處理不受信任的 DTD 和 XML 結構描述可能會載入危險的外部參考。使用具有安全解析程式或停用 DTD 和 XML 內嵌架構處理的，即可限制 XmlReader 這種危險的載入。此規則會偵測使用類別的程式碼，而不 XmlReader 做 XmlValidatingReader 為建構函式參數。

如何修正違規

搭配使用 XmlValidatingReader(XmlReader) ， ProhibitDtd 並將 ProcessInlineSchema 屬性設定為 false 。
從 .NET Framework 2.0 開始， XmlValidatingReader 會被視為過時。您可以使用具現化驗證讀取器 XmlReader.Create 。

隱藏警告的時機

如果 XmlValidatingReader 一律用來驗證來自受信任來源的 XML，因此無法遭到竄改，您可能會隱藏此警告。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5370
// The code that's violating the rule is on this line.
#pragma warning restore CA5370

若要停用檔案、資料夾或專案的規則，請在組態檔中將其嚴重性設定為。 none

[*.{cs,vb}]
dotnet_diagnostic.CA5370.severity = none

如需詳細資訊，請參閱如何隱藏程式碼分析警告。

虛擬程式碼範例

違規

下列虛擬程式碼範例說明此規則偵測到的模式。的第一個參數 XmlValidatingReader.XmlValidatingReader() 類型不是 XmlReader 。

using System;
using System.IO;
using System.Xml;
...
public void TestMethod(Stream xmlFragment, XmlNodeType fragType, XmlParserContext context)
{
    var obj = new XmlValidatingReader(xmlFragment, fragType, context);
}

解決方案

using System;
using System.Xml;
...
public void TestMethod(XmlReader xmlReader)
{
    var obj = new XmlValidatingReader(xmlReader);
}

分享方式：