CA5368：為衍生自頁面的類別設定 ViewStateUserKey

發行項
11/14/2023

屬性	值
規則識別碼	CA5368
標題	為衍生自頁面的類別設定 ViewStateUserKey
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

屬性Page.ViewStateUserKey未在或 Page_Init 方法中Page.OnInit指派。

檔案描述

設計 ASP.NET 網頁窗體時，請留意跨網站偽造要求（CSRF）攻擊。 CSRF 攻擊可將來自已驗證用戶的惡意要求傳送至您的 ASP.NET Web Form。

在 ASP.NET Web Form 中防範 CSRF 攻擊的其中一種方式，就是將頁面的 ViewStateUserKey 設定為無法預測且會話特有的字串。如需詳細資訊，請參閱利用 ASP.NET 內建功能來抵禦Web攻擊。

如何修正違規

將 ViewStateUserKey 屬性設定為每個會話無法預測且唯一的字串。例如，如果您使用 ASP.NET 工作階段狀態， HttpSessionState.SessionID 將會運作。

隱藏警告的時機

如果下列狀況，可以放心地隱藏此規則的警告：

ASP.NET 網頁不會執行敏感性作業。
跨網站要求偽造攻擊會以無法偵測到此規則的方式減輕。例如，如果頁面繼承自包含 CSRF 防禦的主版頁面。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5368
// The code that's violating the rule is on this line.
#pragma warning restore CA5368

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為。none

[*.{cs,vb}]
dotnet_diagnostic.CA5368.severity = none

如需詳細資訊，請參閱如何隱藏程式代碼分析警告。

虛擬程式代碼範例

違規

using System;
using System.Web.UI;

class ExampleClass : Page
{
    protected override void OnInit (EventArgs e)
    {
    }
}

解決方案

using System;
using System.Web.UI;

class ExampleClass : Page
{
    protected override void OnInit (EventArgs e)
    {
        // Assuming that your page makes use of ASP.NET session state and the SessionID is stable.
        ViewStateUserKey = Session.SessionID;
    }
}