CA3012：檢閱程式碼是否有 regex 插入式攻擊弱點

原因

可能不受信任的 HTTP 要求輸入會到達正則表達式。

根據預設，此規則會分析整個程式代碼基底，但這是可設定的。

檔案描述

使用不受信任的輸入時，請留意 regex 插入式攻擊。 攻擊者可以使用 RegEx 插入來惡意修改規則運算式、使 RegEx 符合非預期的結果，或讓 RegEx 耗用過多的 CPU 而導致拒絕服務的攻擊。

此規則會嘗試從到達正則表達式的 HTTP 要求尋找輸入。

如何修正違規

針對 regex 插入的一些風險降低措施包括：

• 使用正則表達式時，一 律使用比對逾 時。
• 請避免根據使用者輸入使用正則表達式。
• 藉由呼叫 System.Text.RegularExpressions.Regex.Escape 或其他方法，從使用者輸入逸出特殊字元。
• 只允許來自使用者輸入的非特殊字元。

隱藏警告的時機

如果您知道您使用的是 比對逾時 ，且使用者輸入沒有特殊字元，則可以隱藏此警告。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA3012
// The code that's violating the rule is on this line.
#pragma warning restore CA3012

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為 。none

[*.{cs,vb}]
dotnet_diagnostic.CA3012.severity = none

如需詳細資訊，請參閱 如何隱藏程式代碼分析警告。

設定程式代碼以分析

使用下列選項來設定程式代碼基底要執行此規則的部分。

• 排除特定符號
• 排除特定類型及其衍生類型

您可以只針對此規則、它套用的所有規則，或針對套用至此類別的所有規則（安全性）設定這些選項。 如需詳細資訊，請參閱 程式代碼品質規則組態選項。

排除特定符號

您可以從分析中排除特定符號，例如類型和方法。 例如，若要指定規則不應該在名為 MyType的任何程式代碼上執行，請將下列機碼/值組新增至 專案中的 .editorconfig 檔案：

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

選項值中允許的符號名稱格式（以 |分隔）：

• 只包含符號名稱（包含名稱的所有符號，不論包含類型或命名空間為何）。
• 符號 檔案識別碼格式的完整名稱。 每個符號名稱都需要符號種類前置詞，例如 M: 方法、 T: 類型和 N: 命名空間。
• .ctor 用於建構函式和 .cctor 靜態建構函式。

範例：

排除特定類型及其衍生類型

您可以從分析中排除特定類型及其衍生類型。 例如，若要指定規則不應該在具名 MyType 類型及其衍生型別內的任何方法上執行，請將下列機碼/值組新增至 專案中的 .editorconfig 檔案：

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

選項值中允許的符號名稱格式（以 |分隔）：

• 僅限類型名稱（包含名稱的所有類型，不論包含類型或命名空間為何）。
• 符號 文件識別碼格式的完整名稱，具有選擇性 T: 前置詞。

範例：

虛擬程式代碼範例

違規

using System;
using System.Text.RegularExpressions;

public partial class WebForm : System.Web.UI.Page
{
    public string SearchableText { get; set; }

    protected void Page_Load(object sender, EventArgs e)
    {
        string findTerm = Request.Form["findTerm"];
        Match m = Regex.Match(SearchableText, "^term=" + findTerm);
    }
}

Imports System
Imports System.Text.RegularExpressions

Public Partial Class WebForm
    Inherits System.Web.UI.Page

    Public Property SearchableText As String

    Protected Sub Page_Load(sender As Object, e As EventArgs)
        Dim findTerm As String = Request.Form("findTerm")
        Dim m As Match = Regex.Match(SearchableText, "^term=" + findTerm)
    End Sub
End Class