共用方式為


CA2356:Web 還原串行化物件圖形中的 Unsafe DataSet 或 DataTable 類型

屬性
規則識別碼 CA2356
標題 Web 還原序列化物件圖中的不安全 DataSet 或 DataTable 類型
類別 安全性
修正程式是中斷或非中斷 不中斷
預設在 .NET 8 中啟用 No

原因

具有 System.Web.Services.WebMethodAttributeSystem.ServiceModel.OperationContractAttribute 的方法具有可參考 DataSetDataTable 的參數。

此規則使用類似規則 的不同方法 CA2355:還原串行化物件圖形 中的 Unsafe DataSet 或 DataTable,並會尋找不同的警告。

檔案描述

還原串行化未受信任的輸入和還原串行化的物件圖形包含 DataSetDataTable時,攻擊者可以製作惡意承載來執行阻斷服務攻擊。 可能有未知的遠端程式碼執行弱點。

如需詳細資訊,請參閱 DataSet 和 DataTable 安全性指引

如何修正違規

  • 可能的話,請使用 Entity Framework ,而不是 DataSetDataTable
  • 讓串行化的數據防竄改。 串行化之後,以密碼編譯方式簽署串行化的數據。 還原串行化之前,請先驗證密碼編譯簽章。 保護密碼編譯金鑰,避免洩漏金鑰,並設計金鑰輪替。

隱藏警告的時機

如果下列狀況,可以放心地隱藏此規則的警告:

  • 您知道輸入是受信任的。 請考慮應用程式的信任界限和數據流可能會隨著時間而變更。
  • 您已在如何修正違規採取其中一項預防措施。

隱藏警告

如果您只想要隱藏單一違規,請將預處理器指示詞新增至原始程式檔以停用,然後重新啟用規則。

#pragma warning disable CA2356
// The code that's violating the rule is on this line.
#pragma warning restore CA2356

若要停用檔案、資料夾或項目的規則,請在組態檔中將其嚴重性設定為 。none

[*.{cs,vb}]
dotnet_diagnostic.CA2356.severity = none

如需詳細資訊,請參閱 如何隱藏程式代碼分析警告

虛擬程式代碼範例

違規

using System;
using System.Data;
using System.Web.Services;

[WebService(Namespace = "http://contoso.example.com/")]
public class MyService : WebService
{
    [WebMethod]
    public string MyWebMethod(DataTable dataTable)
    {
        return null;
    }
}

CA2350:請確認 DataTable.ReadXml() 的輸入是受信任的

CA2351:請確認 DataSet.ReadXml() 的輸入是受信任的

CA2352:可序列化類型中的不安全 DataSet 或 DataTable 可能容易受到遠端程式碼執行攻擊

CA2353:可序列化類型中的不安全 DataSet 或 DataTable

CA2354:還原序列化物件圖中的不安全 DataSet 或 DataTable 可能容易受到遠端程式碼執行攻擊

CA2355:還原序列化物件圖中的不安全 DataSet 或 DataTable

CA2361:確保 DataSet.ReadXml()的輸入受信任

CA2362:自動產生之可序列化型別中不安全的 DataSet 或 DataTable,容易受到遠端程式碼執行攻擊