CA5382: Usar cookies seguras en ASP.NET Core

Causa

La propiedad Microsoft.AspNetCore.Http.CookieOptions.Secure se puede establecer como false al invocar Microsoft.AspNetCore.Http.IResponseCookies.Append. Por ahora, esta regla solo examina la clase Microsoft.AspNetCore.http.Internal.ResponseCookies, que es una de las implementaciones de IResponseCookies.

Esta regla es similar a CA5383, pero el análisis puede determinar que la propiedad Secure sea definitivamente false o no esté establecida.

De forma predeterminada, esta regla analiza todo el código base, pero esto es configurable.

Descripción de la regla

Las aplicaciones disponibles a través de HTTPS deben usar cookies seguras, que indican al navegador que la cookie solo se debe transmitir mediante seguridad de la capa de transporte (TLS).

Cómo corregir infracciones

Establezca la propiedad Secure como true.

Cuándo suprimir las advertencias

• Si las cookies están configuradas para ser seguras de forma predeterminada, como el uso de Microsoft.AspNetCore.CookiePolicy.CookiePolicyMiddleware en Startup.Configure:

  public class Startup
  {
      public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
      {
          app.UseCookiePolicy(
              new CookiePolicyOptions
              {
                  Secure = CookieSecurePolicy.Always
              });
      }
  }
  

• Está seguro de que no hay datos confidenciales en las cookies.

Supresión de una advertencia

Si solo quiere suprimir una única infracción, agregue directivas de preprocesador al archivo de origen para deshabilitar y volver a habilitar la regla.

#pragma warning disable CA5382
// The code that's violating the rule is on this line.
#pragma warning restore CA5382

Para deshabilitar la regla de un archivo, una carpeta o un proyecto, establezca su gravedad en none del archivo de configuración.

[*.{cs,vb}]
dotnet_diagnostic.CA5382.severity = none

Para obtener más información, consulte Procedimiento para suprimir advertencias de análisis de código.

Configuración del código para analizar

Use las opciones siguientes para configurar en qué partes del código base se va a ejecutar esta regla.

• Exclusión de símbolos específicos
• Exclusión de tipos específicos y sus tipos derivados

Puede configurar estas opciones solo para esta regla, para todas las reglas a las que se aplica o para todas las reglas de esta categoría (Seguridad) a las que se aplica. Para más información, vea Opciones de configuración de reglas de calidad de código.

Exclusión de símbolos específicos

Puede excluir símbolos específicos, como tipos y métodos, del análisis. Por ejemplo, para especificar que la regla no se debe ejecutar en ningún código dentro de los tipos con el nombre MyType, agregue el siguiente par clave-valor a un archivo .editorconfig en el proyecto:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Formatos de nombre de símbolo permitidos en el valor de opción (separados por |):

• Solo nombre de símbolo (incluye todos los símbolos con el nombre, con independencia del tipo contenedor o el espacio de nombres).
• Nombres completos en el formato de id. de documentación del símbolo. Cada nombre de símbolo necesita un prefijo de tipo símbolo, como M: para los métodos, T: para los tipos y N: para los espacios de nombres.
• .ctor para los constructores y .cctor para los constructores estáticos.

Ejemplos:

Exclusión de tipos específicos y sus tipos derivados

Puede excluir tipos específicos y sus tipos derivados del análisis. Por ejemplo, para especificar que la regla no se debe ejecutar en ningún método dentro de los tipos con el nombre MyType y sus tipos derivados, agregue el siguiente par clave-valor a un archivo .editorconfig en el proyecto:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Formatos de nombre de símbolo permitidos en el valor de opción (separados por |):

• Solo nombre de tipo (incluye todos los tipos con el nombre, con independencia del tipo contenedor o el espacio de nombres).
• Nombres completos en el formato de identificador de documentación del símbolo, con un prefijo T: opcional.

Ejemplos:

Ejemplo

El fragmento de código siguiente muestra el patrón que detecta esta regla.

Infracción:

using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = false;
        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}

Solución:

using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = true;
        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}