CA5365:请勿禁用 HTTP 头检查

项目
09/07/2023

属性	值
规则 ID	CA5365
标题	请勿禁用 HTTP 头检查
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 9 中默认启用	否

原因

将 EnableHeaderChecking 设置为 false。

规则说明

通过 HTTP 标头检查，可对在响应标头中找到的回车符和换行符（\r 和 \n）进行编码。此编码有助于避免注入攻击，这些注入攻击会攻击对响应标头中包含的不受信数据进行回显的应用程序。

如何解决冲突

将 EnableHeaderChecking 设置为 true。或者，删除对 false 的赋值，因为默认值为 true。

何时禁止显示警告

HTTP 标头延续依赖于跨越多行的标头，并且在其中需要换行。如果需要使用标头延续，则需要将 EnableHeaderChecking 属性设置为 false。检查标头会影响性能。如果你确定已经执行了正确的检查，可通过关闭此功能来提高应用程序的性能。在禁用此功能之前，请确保已在这一方面采用正确的预防措施。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA5365
// The code that's violating the rule is on this line.
#pragma warning restore CA5365

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA5365.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

using System;
using System.Web.Configuration;

class TestClass
{
    public void TestMethod()
    {
        HttpRuntimeSection httpRuntimeSection = new HttpRuntimeSection();
        httpRuntimeSection.EnableHeaderChecking = false;
    }
}

解决方案

using System;
using System.Web.Configuration;

class TestClass
{
    public void TestMethod()
    {
        HttpRuntimeSection httpRuntimeSection = new HttpRuntimeSection();
        httpRuntimeSection.EnableHeaderChecking = true;
    }
}

通过