CA2355：還原序列化物件圖中的不安全 DataSet 或 DataTable
| 屬性 | 值 |
|---|---|
| 規則識別碼 | CA2355 |
| 標題 | 還原序列化物件圖中的不安全 DataSet 或 DataTable |
| 類別 | 安全性 |
| 修正程式是中斷或非中斷 | 不中斷 |
| 預設在 .NET 8 中啟用 | No |
原因
在轉換或指定型別的物件圖形可以包含 DataSet 或 DataTable 時還原序列化。
此規則使用類似規則 CA2353 的不同方法：可串行化類型的 Unsafe DataSet 或 DataTable。
轉換或指定的型別會在下列情況下進行評估：
- 初始化 DataContractSerializer 物件
- 初始化 DataContractJsonSerializer 物件
- 初始化 XmlSerializer 物件
- 調用 JavaScriptSerializer.Deserialize
- 調用 JavaScriptSerializer.DeserializeObject
- 調用 XmlSerializer.FromTypes
- 叫用 Newtonsoft Json.NET JsonSerializer.Deserialize
- 叫用 Newtonsoft Json.NET JsonConvert.DeserializeObject
檔案描述
使用 還原串行化不受信任的輸入 BinaryFormatter ，且還原串行化的物件圖形包含 DataSet 或 DataTable時，攻擊者可以製作惡意承載來執行阻斷服務攻擊。 可能有未知的遠端程式碼執行弱點。
如需詳細資訊，請參閱 DataSet 和 DataTable 安全性指引。
如何修正違規
- 可能的話，請使用 Entity Framework ，而不是 DataSet 和 DataTable。
- 讓串行化的數據防竄改。 串行化之後，以密碼編譯方式簽署串行化的數據。 還原串行化之前，請先驗證密碼編譯簽章。 保護密碼編譯金鑰，避免洩漏金鑰，並設計金鑰輪替。
隱藏警告的時機
如果下列狀況，可以放心地隱藏此規則的警告：
- 您知道輸入是受信任的。 請考慮應用程式的信任界限和數據流可能會隨著時間而變更。
- 您已在如何修正違規中採取其中一項預防措施。
隱藏警告
如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。
#pragma warning disable CA2355
// The code that's violating the rule is on this line.
#pragma warning restore CA2355
若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為 。none
[*.{cs,vb}]
dotnet_diagnostic.CA2355.severity = none
如需詳細資訊，請參閱 如何隱藏程式代碼分析警告。
虛擬程式代碼範例
違規
using System.Data;
using System.IO;
using System.Runtime.Serialization;
[Serializable]
public class MyClass
{
public MyOtherClass OtherClass { get; set; }
}
[Serializable]
public class MyOtherClass
{
private DataSet myDataSet;
}
public class ExampleClass
{
public MyClass Deserialize(Stream stream)
{
BinaryFormatter bf = new BinaryFormatter();
return (MyClass) bf.Deserialize(stream);
}
}
相關規則
CA2350：請確認 DataTable.ReadXml() 的輸入是受信任的
CA2351：請確認 DataSet.ReadXml() 的輸入是受信任的
CA2352：可序列化類型中的不安全 DataSet 或 DataTable 可能容易受到遠端程式碼執行攻擊
CA2353：可序列化類型中的不安全 DataSet 或 DataTable
CA2354：還原序列化物件圖中的不安全 DataSet 或 DataTable 可能容易受到遠端程式碼執行攻擊
CA2356：Web 還原序列化物件圖中的不安全 DataSet 或 DataTable
