CA5362：還原序列化物件圖中的可能參考循環

發行項
11/14/2023

屬性	值
規則識別碼	CA5362
標題	還原序列化物件圖中的可能參考循環
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

標示為的 System.SerializableAttribute 類別具有字段或屬性，可能會直接或間接參考包含的物件，以允許潛在的參考週期。

檔案描述

如果還原序列化未受信任的資料，那麼處理還原序列化物件圖形的任何程式碼都需要處理參考循環，而不必進入無限迴圈。這包括還原序列化回撥流程的部分程式碼，以及還原序列化完成後，負責處理物件圖的程式碼。否則，攻擊者便可使用包含參考循環的惡意資料來執行拒絕服務攻擊。

此規則不一定表示有弱點，但只會在還原串行化的物件圖形中標幟潛在的參考迴圈。

如何修正違規

請勿序列化類別並移除 SerializableAttribute。或者，重新設計您的應用程式，讓自我參考的成員可以從可串行化類別中移除。

隱藏警告的時機

如果下列狀況，可以放心地隱藏此規則的警告：

您知道輸入是受信任的。請考慮應用程式的信任界限和數據流可能會隨著時間而變更。
處理還原串行化數據的所有程式代碼都會偵測及處理參考迴圈，而不會進入無限迴圈或使用過多的資源。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5362
// The code that's violating the rule is on this line.
#pragma warning restore CA5362

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為。none

[*.{cs,vb}]
dotnet_diagnostic.CA5362.severity = none

如需詳細資訊，請參閱如何隱藏程式代碼分析警告。

虛擬程式代碼範例

潛在的參考周期違規

using System;

[Serializable()]
class ExampleClass
{
    public ExampleClass ExampleProperty {get; set;}

    public int NormalProperty {get; set;}
}

class AnotherClass
{
    // The argument passed by could be `JsonConvert.DeserializeObject<ExampleClass>(untrustedData)`.
    public void AnotherMethod(ExampleClass ec)
    {
        while(ec != null)
        {
            Console.WriteLine(ec.ToString());
            ec = ec.ExampleProperty;
        }
    }
}

解決方案

using System;

[Serializable()]
class ExampleClass
{
    [NonSerialized]
    public ExampleClass ExampleProperty {get; set;}

    public int NormalProperty {get; set;}
}

class AnotherClass
{
    // The argument passed by could be `JsonConvert.DeserializeObject<ExampleClass>(untrustedData)`.
    public void AnotherMethod(ExampleClass ec)
    {
        while(ec != null)
        {
            Console.WriteLine(ec.ToString());
            ec = ec.ExampleProperty;
        }
    }
}

共用方式為