CA5370: Verwenden Sie XmlReader als überprüfenden Reader.

Artikel
06/05/2023

Eigenschaft	Wert
Regel-ID	CA5370
Titel	Verwenden Sie XmlReader als überprüfenden Reader.
Kategorie	Security
Fix führt oder führt nicht zur Unterbrechung	Nicht unterbrechend
Standardmäßig in .NET 8 aktiviert	Nein

Ursache

Die Überprüfung nicht vertrauenswürdiger XML-Eingaben über die XmlValidatingReader-Klasse, instanziiert ohne ein XmlReader-Objekt, kann möglicherweise zu Denial-of-Service, Offenlegung von Informationen und serverseitigen Anforderungsfälschungsangriffen führen. Diese Angriffe werden durch nicht vertrauenswürdige DTD-und XML-Schemaverarbeitung ermöglicht, sodass XML-Bomben und schädliche externe Entitäten in den XML-Code eingefügt werden können. Nur mit XmlReader kann DTD deaktiviert werden. Bei der Inline-XML-Schemaverarbeitung als XmlReader, ist die ProhibitDtd- und ProcessInlineSchema-Eigenschaft standardmäßig auf false in der .NET Framework-Version ab 4.0 festgelegt.

Regelbeschreibung

Die Verarbeitung nicht vertrauenswürdiger DTD- und XML-Schemas kann das Laden gefährlicher externer Verweise ermöglichen. Dies kann eingeschränkt werden, indem ein XmlReader mit einem sicheren Konfliktlöser oder deaktivierter Inline-Schemaverarbeitung für DTD und XML verwendet wird. Diese Regel erkennt Code, der die XmlValidatingReader-Klasse ohne XmlReader als Konstruktorparameter verwendet.

Behandeln von Verstößen

Verwenden Sie XmlValidatingReader(XmlReader) mit ProhibitDtd- und ProcessInlineSchema-Eigenschaften, die auf false eingestellt sind.
Ab .NET Framework 2.0 wird XmlValidatingReader als veraltet angesehen. Sie können einen validierenden Reader mit XmlReader.Create instanziieren.

Wann sollten Warnungen unterdrückt werden?

Sie können diese Warnung möglicherweise unterdrücken, wenn XmlValidatingReader immer dazu verwendet wird, die XML zu überprüfen, die von einer vertrauenswürdigen Quelle stammt und daher nicht manipuliert werden kann.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA5370
// The code that's violating the rule is on this line.
#pragma warning restore CA5370

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad in der Konfigurationsdatei auf none fest.

[*.{cs,vb}]
dotnet_diagnostic.CA5370.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Pseudocodebeispiele

Verletzung

Das folgende Pseudocodebeispiel veranschaulicht das von dieser Regel erkannte Muster. Der Typ des ersten Parameters von XmlValidatingReader.XmlValidatingReader() ist nicht XmlReader.

using System;
using System.IO;
using System.Xml;
...
public void TestMethod(Stream xmlFragment, XmlNodeType fragType, XmlParserContext context)
{
    var obj = new XmlValidatingReader(xmlFragment, fragType, context);
}

Lösung

using System;
using System.Xml;
...
public void TestMethod(XmlReader xmlReader)
{
    var obj = new XmlValidatingReader(xmlReader);
}