安全性架構︰例外狀況管理 | 風險降低

WCF - 請勿在組態檔中包含 serviceDebug 節點

範例

下列組態檔包含 <serviceDebug> 標籤︰

<configuration> 
<system.serviceModel> 
<behaviors> 
<serviceBehaviors> 
<behavior name=""MyServiceBehavior""> 
<serviceDebug includeExceptionDetailInFaults=""True"" httpHelpPageEnabled=""True""/> 
... 

停用服務中的偵錯資訊。 這可藉由從應用程式組態檔移除 <serviceDebug> 標籤來完成。

WCF - 請勿在組態檔中包含 serviceMetadata 節點

確定已在 ASP.NET Web API 中正確處理例外狀況

範例

若要控制 API 傳回的狀態碼，可如下所示使用 HttpResponseException︰

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        throw new HttpResponseException(HttpStatusCode.NotFound);
    }
    return item;
}

範例

若要進一步控制例外狀況回應，可如下所示使用 HttpResponseMessage 類別︰

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        var resp = new HttpResponseMessage(HttpStatusCode.NotFound)
        {
            Content = new StringContent(string.Format("No product with ID = {0}", id)),
            ReasonPhrase = "Product ID Not Found"
        }
        throw new HttpResponseException(resp);
    }
    return item;
}

若要攔截類型不是 HttpResponseException 的未處理例外狀況，可使用例外狀況篩選。 例外狀況篩選會實作 System.Web.Http.Filters.IExceptionFilter 介面。 撰寫例外狀況篩選的最簡單方式是從 System.Web.Http.Filters.ExceptionFilterAttribute 類別衍生並覆寫 OnException 方法。

範例

以下是會將 NotImplementedException 例外狀況轉換成 HTTP 狀態碼 501, Not Implemented 的篩選：

namespace ProductStore.Filters
{
    using System;
    using System.Net;
    using System.Net.Http;
    using System.Web.Http.Filters;

    public class NotImplExceptionFilterAttribute : ExceptionFilterAttribute 
    {
        public override void OnException(HttpActionExecutedContext context)
        {
            if (context.Exception is NotImplementedException)
            {
                context.Response = new HttpResponseMessage(HttpStatusCode.NotImplemented);
            }
        }
    }
}

有數種方式可以註冊 Web API 例外狀況篩選︰

• 透過動作
• 透過控制器
• 全域

範例

若要將篩選套用至特定動作，請在動作中新增篩選來做為屬性︰

public class ProductsController : ApiController
{
    [NotImplExceptionFilter]
    public Contact GetContact(int id)
    {
        throw new NotImplementedException("This method is not implemented");
    }
}

範例

若要將篩選套用至 controller 上的所有動作，請在 controller 類別中新增篩選來做為屬性︰

[NotImplExceptionFilter]
public class ProductsController : ApiController
{
    // ...
}

範例

若要將篩選全域套用至所有 Web API 控制器，請在 GlobalConfiguration.Configuration.Filters 集合中新增篩選執行個體。 此集合中的例外狀況篩選會套用至任何 Web API 控制器動作。

GlobalConfiguration.Configuration.Filters.Add(
    new ProductStore.NotImplExceptionFilterAttribute());

範例

若要驗證模型，可將模型狀態傳遞至 CreateErrorResponse 方法，如下所示︰

public HttpResponseMessage PostProduct(Product item)
{
    if (!ModelState.IsValid)
    {
        return Request.CreateErrorResponse(HttpStatusCode.BadRequest, ModelState);
    }
    // Implementation not shown...
}

請參閱 [參考] 區段中的連結，以取得在 ASP.NET Web API 中處理例外狀況和驗證模型的其他詳細資料

請勿在錯誤訊息中公開安全性詳細資料

實作預設的錯誤處理頁面

設定要在 IIS 中零售的部署方法

例外狀況應安全地失敗

範例

        public static bool ValidateDomain(string pathToValidate, Uri currentUrl)
        {
            try
            {
                if (!string.IsNullOrWhiteSpace(pathToValidate))
                {
                    var domain = RetrieveDomain(currentUrl);
                    var replyPath = new Uri(pathToValidate);
                    var replyDomain = RetrieveDomain(replyPath);

                    if (string.Compare(domain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                    {
                        //// Adding additional check to enable CMS urls if they are not hosted on same domain.
                        if (!string.IsNullOrWhiteSpace(Utilities.CmsBase))
                        {
                            var cmsDomain = RetrieveDomain(new Uri(Utilities.Base.Trim()));
                            if (string.Compare(cmDomain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                            {
                                return false;
                            }
                            else
                            {
                                return true;
                            }
                        }

                        return false;
                    }
                }

                return true;
            }
            catch (UriFormatException ex)
            {
                LogHelper.LogException("Utilities:ValidateDomain", ex);
                return true;
            }
        }

如果發生某些例外狀況，上述方法一律會傳回 True。 如果使用者提供格式不正確的 URL，瀏覽器加以採用但 Uri() 建構函式未採用，就會擲回例外狀況，並將受害者導向有效但格式不正確的 URL。