CA2361：请确保包含 DataSet.ReadXml() 的自动生成的类没有与不受信任的数据一起使用

值

规则 ID

CA2361

类别

安全性

修复是中断修复还是非中断修复

非中断

原因

调用或引用了 DataSet.ReadXml 方法，且该方法位于自动生成的代码内。

此规则对自动生成的代码进行分类：

位于名为 ReadXmlSerializable 的方法中。

ReadXmlSerializable 方法具有 System.Diagnostics.DebuggerNonUserCodeAttribute。

ReadXmlSerializable 方法位于具有 System.ComponentModel.DesignerCategoryAttribute 的类型内。

CA2351 是类似的规则，适用于 DataSet.ReadXml 出现在非自动生成的代码中时。

规则说明

反序列化具有不受信任输入的 DataSet 时，攻击者可创建恶意输入来实施拒绝服务攻击。有可能存在未知的远程代码执行漏洞。

此规则类似于 CA2351，但适用于 GUI 应用程序内数据的内存中表示形式的自动生成的代码。通常，这些自动生成的类不会从不受信任的输入中进行反序列化。应用程序的使用可能会有差异。

有关详细信息，请参阅 DataSet 和 DataTable 安全指南。

如何解决冲突

如果可能，请使用实体框架而不是 DataSet。

使序列化的数据免被篡改。序列化后，对序列化的数据进行加密签名。在反序列化之前，验证加密签名。保护加密密钥不被泄露，并设计密钥轮换。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

已知输入受到信任。考虑到应用程序的信任边界和数据流可能会随时间发生变化。

已采取了如何修复冲突的某项预防措施。

伪代码示例

冲突

namespace ExampleNamespace

{

/// <summary>

///Represents a strongly typed in-memory cache of data.

///</summary>

[global::System.Serializable()]

[global::System.ComponentModel.DesignerCategoryAttribute("code")]

[global::System.ComponentModel.ToolboxItem(true)]

[global::System.Xml.Serialization.XmlSchemaProviderAttribute("GetTypedDataSetSchema")]

[global::System.Xml.Serialization.XmlRootAttribute("Package")]

[global::System.ComponentModel.Design.HelpKeywordAttribute("vs.data.DataSet")]

public partial class Something : global::System.Data.DataSet {

[global::System.Diagnostics.DebuggerNonUserCodeAttribute()]

[global::System.CodeDom.Compiler.GeneratedCodeAttribute("System.Data.Design.TypedDataSetGenerator", "4.0.0.0")]

protected override void ReadXmlSerializable(global::System.Xml.XmlReader reader) {

if ((this.DetermineSchemaSerializationMode(reader) == global::System.Data.SchemaSerializationMode.IncludeSchema)) {

this.Reset();

global::System.Data.DataSet ds = new global::System.Data.DataSet();

ds.ReadXml(reader);

if ((ds.Tables["Something"] != null)) {

base.Tables.Add(new SomethingTable(ds.Tables["Something"]));

}

this.DataSetName = ds.DataSetName;

this.Prefix = ds.Prefix;

this.Namespace = ds.Namespace;

this.Locale = ds.Locale;

this.CaseSensitive = ds.CaseSensitive;

this.EnforceConstraints = ds.EnforceConstraints;

this.Merge(ds, false, global::System.Data.MissingSchemaAction.Add);

this.InitVars();

}

else {

this.ReadXml(reader);

this.InitVars();

}