CA5382: Použití zabezpečených souborů cookie v ASP.NET Core

Článek
02/15/2024

Vlastnost	Hodnota
ID pravidla	CA5382
Název	Používejte v ASP.NET Core zabezpečené soubory cookie.
Kategorie	Zabezpečení
Oprava způsobující chybu nebo chybu způsobující chybu	Nenarušující
Povoleno ve výchozím nastavení v .NET 9	No

Příčina

Vlastnost Microsoft.AspNetCore.Http.CookieOptions.Secure je nastavena jako false při vyvolání Microsoft.AspNetCore.Http.IResponseCookies.Append. Prozatím toto pravidlo sleduje pouze třídu Microsoft.AspNetCore.Http.Internal.ResponseCookies, která je jednou z implementací IResponseCookies.

Toto pravidlo je podobné ca5383, ale analýza může určit, že Secure vlastnost je rozhodně false nebo není nastavena.

Ve výchozím nastavení toto pravidlo analyzuje celý základ kódu, ale dá se nakonfigurovat.

Popis pravidla

Aplikace dostupné přes PROTOKOL HTTPS musí používat zabezpečené soubory cookie, které označují prohlížeči, že soubor cookie by měl být přenášen pouze pomocí protokolu TLS (Transport Layer Security).

Jak opravit porušení

Nastavit Secure vlastnost jako true.

Kdy potlačit upozornění

Pokud jsou soubory cookie nakonfigurované tak, aby byly ve výchozím nastavení zabezpečené, jako je například použití Microsoft.AspNetCore.CookiePolicy.CookiePolicyMiddleware v Startup.Configure:

public class Startup
{
    public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
    {
        app.UseCookiePolicy(
            new CookiePolicyOptions
            {
                Secure = CookieSecurePolicy.Always
            });
    }
}

Pokud jste si jistí, že v souborech cookie nejsou žádná citlivá data.

Potlačení upozornění

Pokud chcete pouze potlačit jedno porušení, přidejte do zdrojového souboru direktivy preprocesoru, abyste pravidlo zakázali a znovu povolili.

#pragma warning disable CA5382
// The code that's violating the rule is on this line.
#pragma warning restore CA5382

Pokud chcete pravidlo pro soubor, složku nebo projekt zakázat, nastavte jeho závažnost v none konfiguračním souboru.

[*.{cs,vb}]
dotnet_diagnostic.CA5382.severity = none

Další informace naleznete v tématu Jak potlačit upozornění analýzy kódu.

Konfigurace kódu pro analýzu

Pomocí následujících možností můžete nakonfigurovat, pro které části základu kódu se má toto pravidlo spouštět.

Vyloučení konkrétních symbolů
Vyloučení konkrétních typů a jejich odvozených typů

Tyto možnosti můžete nakonfigurovat jenom pro toto pravidlo, pro všechna pravidla, která platí, nebo pro všechna pravidla v této kategorii (zabezpečení), na která platí. Další informace naleznete v tématu Možnosti konfigurace pravidla kvality kódu.

Vyloučení konkrétních symbolů

Z analýzy můžete vyloučit konkrétní symboly, jako jsou typy a metody. Pokud chcete například určit, že pravidlo by se nemělo spouštět u žádného kódu v rámci pojmenovaných MyTypetypů, přidejte do souboru .editorconfig v projektu následující dvojici klíč-hodnota:

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

Povolené formáty názvů symbolů v hodnotě možnosti (oddělené ):|

Pouze název symbolu (zahrnuje všechny symboly s názvem bez ohledu na typ nebo obor názvů).
Plně kvalifikované názvy ve formátu ID dokumentace symbolu. Každý název symbolu vyžaduje předponu typu symbolu, například M: pro metody, T: typy a N: obory názvů.
.ctor pro konstruktory a .cctor statické konstruktory.

Příklady:

Hodnota možnosti	Shrnutí
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	Odpovídá všem symbolům s názvem `MyType`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	Porovná všechny symboly pojmenované buď `MyType1` nebo `MyType2`.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	Odpovídá konkrétní metodě `MyMethod` se zadaným plně kvalifikovaným podpisem.
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	Odpovídá konkrétním metodám `MyMethod1` a `MyMethod2` příslušným plně kvalifikovaným podpisům.

Vyloučení konkrétních typů a jejich odvozených typů

Z analýzy můžete vyloučit konkrétní typy a jejich odvozené typy. Pokud chcete například určit, že pravidlo by se nemělo spouštět u žádné metody v rámci pojmenovaných MyType typů a jejich odvozených typů, přidejte do souboru .editorconfig v projektu následující dvojici klíč-hodnota:

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

Povolené formáty názvů symbolů v hodnotě možnosti (oddělené ):|

Pouze název typu (zahrnuje všechny typy s názvem bez ohledu na typ nebo obor názvů).
Plně kvalifikované názvy ve formátu ID dokumentace symbolu s volitelnou T: předponou.

Příklady:

Hodnota možnosti	Shrnutí
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	Odpovídá všem pojmenovaným `MyType` typům a všem jejich odvozeným typům.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	Odpovídá všem typům pojmenovaným buď `MyType1` nebo `MyType2` a všem jejich odvozeným typům.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	Odpovídá určitému typu `MyType` s daným plně kvalifikovaným názvem a všemi jeho odvozenými typy.
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	Odpovídá konkrétním typům `MyType1` a `MyType2` příslušným plně kvalifikovaným názvům a všem jejich odvozeným typům.

Příklad

Následující fragment kódu znázorňuje vzor zjištěný tímto pravidlem.

Porušení:

using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = false;
        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}

Řešení:

using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Http.Internal;

class ExampleClass
{
    public void ExampleMethod(string key, string value)
    {
        var cookieOptions = new CookieOptions();
        cookieOptions.Secure = true;
        var responseCookies = new ResponseCookies(null, null);
        responseCookies.Append(key, value, cookieOptions);
    }
}

Sdílet prostřednictvím