| 屬性 | 值 |
|---|---|
| 規則識別碼 | CA5369 |
| 職稱 | 請使用 XmlReader 進行反序列化 |
| 類別 | 安全性 |
| 修正是造成中斷還是不中斷 | 不中斷 |
| 在 .NET 10 中預設啟用 | 否 |
| 適用語言 | C# 與 Visual Basic |
原因
反序列化未經XmlSerializer.Deserialize物件具現化的不受信任 XML 輸入XmlReader，可能會導致拒絕服務、資訊洩漏和伺服器端請求偽造攻擊。 這些攻擊是由不受信任的 DTD 和 XML 架構處理所啟用，可允許在 XML 中包含 XML 炸彈和惡意外部實體。 只有使用 XmlReader 才能停用 DTD。 在 .NET Framework 4.0 版及後續版本中，內嵌 XML 架構處理會預設將XmlReader和ProhibitDtd屬性設定為ProcessInlineSchemafalse。 其他選項，例如 Stream、 TextReader和 XmlSerializationReader 無法停用 DTD 處理。
規則描述
處理不受信任的 DTD 和 XML 架構可能會啟用載入危險的外部參考，應該透過使用安全解析器搭配 XmlReader，或是停用 DTD 和 XML 內嵌架構處理來加以限制。 此規則會偵測使用 XmlSerializer.Deserialize 方法的程序代碼，而且不接受 XmlReader 做為建構函式參數。
如何修正違規
請勿使用 XmlSerializer.Deserialize、Deserialize(XmlReader)、Deserialize(XmlReader, String)、Deserialize(XmlReader, XmlDeserializationEvents)或 Deserialize(XmlReader, String, XmlDeserializationEvents)以外的重載。
隱藏警告的時機
如果剖析的 XML 來自受信任的來源，因此無法遭到竄改，您可能會隱藏此警告。
隱藏警告
如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。
#pragma warning disable CA5369
// The code that's violating the rule is on this line.
#pragma warning restore CA5369
若要停用檔案、資料夾或專案的規則，請在組態檔中將其嚴重性設為 none。
[*.{cs,vb}]
dotnet_diagnostic.CA5369.severity = none
如需詳細資訊，請參閱 如何隱藏程式代碼分析警告。
虛擬程式代碼範例
違規
下列虛擬程式代碼範例說明此規則偵測到的模式。
的第一個參數 XmlSerializer.Deserialize 類型不是 XmlReader 或衍生類別。
using System.IO;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass).Deserialize(new FileStream("filename", FileMode.Open));
解決方案
using System.IO;
using System.Xml;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass)).Deserialize(XmlReader.Create (new FileStream("filename", FileMode.Open)));
