CA5366：請使用 XmlReader 為 DataSet 讀取 XML

屬性	值
規則識別碼	CA5366
職稱	請使用 XmlReader 為 DataSet 讀取 XML
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 9 中啟用	No

原因

檔案類型定義 （DTD） 會定義 XML 檔案的結構和法律元素和屬性。 從外部資源參考 DTD 可能會導致潛在的阻斷服務 （DoS） 攻擊。 大部分讀取器都無法停用 DTD 處理，並限制外部參考載入，但 除外 System.Xml.XmlReader。 使用這些其他讀取器以下欄其中一種方法載入 XML 會觸發此規則：

• ReadXml
• ReadXmlSchema
• ReadXmlSerializable

檔案描述

使用 System.Data.DataSet 讀取含有不受信任資料的 XML，可能會載入危險的外部參考，應使用具有安全解析程式或已停用 DTD 處理的 XmlReader，加以限制。

如何修正違規

使用 XmlReader 或其衍生類別來讀取 XML。

隱藏警告的時機

處理受信任的數據源時，隱藏此規則的警告。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5366
// The code that's violating the rule is on this line.
#pragma warning restore CA5366

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為 。none

[*.{cs,vb}]
dotnet_diagnostic.CA5366.severity = none

如需詳細資訊，請參閱 如何隱藏程式代碼分析警告。

虛擬程式代碼範例

違規

using System.Data;
using System.IO;

public class ExampleClass
{
    public void ExampleMethod()
    {
        new DataSet().ReadXml(new FileStream("xmlFilename", FileMode.Open));
    }
}

解決方案

using System.Data;
using System.IO;
using System.Xml;

public class ExampleClass
{
    public void ExampleMethod()
    {
        new DataSet().ReadXml(new XmlTextReader(new FileStream("xmlFilename", FileMode.Open)));
    }
}