CA5369：請使用 XmlReader 進行還原序列化

發行項
11/14/2023

屬性	值
規則識別碼	CA5369
標題	請使用 XmlReader 進行還原序列化
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

還原串行化未XmlReader具現化的不受信任 XML 輸入XmlSerializer.Deserialize，可能會導致阻斷服務、資訊洩漏和伺服器端要求偽造攻擊。這些攻擊是由不受信任的 DTD 和 XML 架構處理所啟用，可允許在 XML 中包含 XML 炸彈和惡意外部實體。只有， XmlReader 才能停用 DTD。 .NET Framework 4.0 版和更新版本中預設會將 ProhibitDtd 和 ProcessInlineSchema 屬性設定為 false 的內嵌 XML 架構處理XmlReader。其他選項，例如 Stream、 TextReader和 XmlSerializationReader 無法停用 DTD 處理。

檔案描述

處理不受信任的 DTD 和 XML 架構可能會啟用載入危險的外部參考，這應該透過搭配安全解析程式使用 XmlReader 或停用 DTD 和 XML 內嵌架構處理來限制。此規則會偵測使用 XmlSerializer.Deserialize 方法的程序代碼，而且不接受 XmlReader 做為建構函式參數。

如何修正違規

請勿使用 XmlSerializer.Deserialize 、、 Deserialize(XmlReader, String)Deserialize(XmlReader, XmlDeserializationEvents)或 Deserialize(XmlReader, String, XmlDeserializationEvents)以外的Deserialize(XmlReader)多載。

隱藏警告的時機

如果剖析的 XML 來自受信任的來源，因此無法遭到竄改，您可能會隱藏此警告。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5369
// The code that's violating the rule is on this line.
#pragma warning restore CA5369

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為。none

[*.{cs,vb}]
dotnet_diagnostic.CA5369.severity = none

如需詳細資訊，請參閱如何隱藏程式代碼分析警告。

虛擬程式代碼範例

違規

下列虛擬程式代碼範例說明此規則偵測到的模式。的第一個參數 XmlSerializer.Deserialize 類型不是 XmlReader 或衍生類別。

using System.IO;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass).Deserialize(new FileStream("filename", FileMode.Open));

解決方案

using System.IO;
using System.Xml;
using System.Xml.Serialization;
...
new XmlSerializer(typeof(TestClass)).Deserialize(XmlReader.Create (new FileStream("filename", FileMode.Open)));