CA5371：請使用 XmlReader 讀取結構描述

文章
11/14/2023

屬性	值
規則識別碼	CA5371
標題	請使用 XmlReader 讀取結構描述
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

在不具現化的情況下XmlReader處理不受信任的 XML 輸入XmlSchema.Read，可能會導致阻斷服務、資訊洩漏和伺服器端要求偽造攻擊。這些攻擊是由不受信任的 DTD 和 XML 架構處理所啟用，可允許在 XML 中包含 XML 炸彈和惡意外部實體。只有， XmlReader 才能停用 DTD。從 4.0 版開始，內嵌 XML 架構處理和 XmlReaderProhibitDtdProcessInlineSchema 屬性預設在 .NET Framework 中設定為 false。其他選項，例如 Stream、 TextReader和 XmlSerializationReader 無法停用 DTD 處理。

檔案描述

處理不受信任的 DTD 和 XML 結構描述可能會載入危險的外部參考。 XmlReader使用搭配安全解析程式或已停用 DTD 和 XML 內嵌架構處理的會限制此專案。此規則會偵測使用方法的程序代碼，而不XmlReader做XmlSchema.Read為參數。

如何修正違規

使用 XmlSchema.Read(XmlReader, *) 多載。

隱藏警告的時機

如果 XmlSchema.Read 方法一律用來處理來自受信任來源的 XML，因此無法遭到竄改，您可能會隱藏此警告。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5371
// The code that's violating the rule is on this line.
#pragma warning restore CA5371

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為。none

[*.{cs,vb}]
dotnet_diagnostic.CA5371.severity = none

如需詳細資訊，請參閱如何隱藏程式代碼分析警告。

虛擬程式代碼範例

違規

下列虛擬程式代碼範例說明此規則偵測到的模式。的第一個參數 XmlSchema.Read 類型不是 XmlReader。

using System.IO;
using System.Xml.Schema;
...
public void TestMethod(Stream stream, ValidationEventHandler validationEventHandler)
{
    XmlSchema.Read(stream, validationEventHandler);
}

解決方案

using System.IO;
using System.Xml.Schema;
...
public void TestMethod(XmlReader reader, ValidationEventHandler validationEventHandler)
{
    XmlSchema.Read(reader, validationEventHandler);
}

分享方式：