CA5371: Verwenden Sie XmlReader für Schemalesevorgänge.
Eigenschaft | Wert |
---|---|
Regel-ID | CA5371 |
Titel | Verwenden Sie XmlReader für Schemalesevorgänge. |
Kategorie | Security |
Fix führt oder führt nicht zur Unterbrechung | Nicht unterbrechend |
Standardmäßig in .NET 9 aktiviert | No |
Ursache
Das Verarbeiten nicht vertrauenswürdiger XML-Eingaben mit XmlSchema.Read, instanziiert ohne ein XmlReader
-Objekt, kann möglicherweise zu Denial-of-Service, Offenlegung von Informationen und serverseitigen Anforderungsfälschungsangriffen führen. Diese Angriffe werden durch nicht vertrauenswürdige DTD-und XML-Schemaverarbeitung ermöglicht, sodass XML-Bomben und schädliche externe Entitäten in den XML-Code eingefügt werden können. Nur mit XmlReader
kann DTD deaktiviert werden. Bei der Inline-XML-Schemaverarbeitung als XmlReader
, ist die ProhibitDtd
- und ProcessInlineSchema
-Eigenschaft standardmäßig auf „false“ in der .NET Framework-Version ab 4.0 festgelegt. Die anderen Optionen, wie z. b. Stream
, TextReader
und XmlSerializationReader
, können die DTD-Verarbeitung nicht deaktivieren.
Regelbeschreibung
Die Verarbeitung nicht vertrauenswürdiger DTD- und XML-Schemas kann das Laden gefährlicher externer Verweise ermöglichen. Die Verwendung eines XmlReader
mit einem sicheren Konfliktlöser oder deaktivierter Inline-Schemaverarbeitung für DTD und XML schränkt dies ein. Diese Regel erkennt Code, der die XmlSchema.Read-Methode ohne XmlReader
als Parameter verwendet.
Behandeln von Verstößen
Verwenden Sie XmlSchema.Read(XmlReader, *)
-Überladungen.
Wann sollten Warnungen unterdrückt werden?
Sie können diese Warnung möglicherweise unterdrücken, wenn die XmlSchema.Read-Methode immer dazu verwendet wird, die XML zu verarbeiten, die von einer vertrauenswürdigen Quelle stammt und daher nicht manipuliert werden kann.
Unterdrücken einer Warnung
Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.
#pragma warning disable CA5371
// The code that's violating the rule is on this line.
#pragma warning restore CA5371
Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der Konfigurationsdatei auf none
fest.
[*.{cs,vb}]
dotnet_diagnostic.CA5371.severity = none
Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.
Pseudocodebeispiele
Verletzung
Das folgende Pseudocodebeispiel veranschaulicht das von dieser Regel erkannte Muster.
Der Typ des ersten Parameters von XmlSchema.Read ist nicht XmlReader
.
using System.IO;
using System.Xml.Schema;
...
public void TestMethod(Stream stream, ValidationEventHandler validationEventHandler)
{
XmlSchema.Read(stream, validationEventHandler);
}
Lösung
using System.IO;
using System.Xml.Schema;
...
public void TestMethod(XmlReader reader, ValidationEventHandler validationEventHandler)
{
XmlSchema.Read(reader, validationEventHandler);
}