MVC5 的 CWE-ID 100 修复

Question

根据 Veracode，与技术特定的输入验证问题相关的 CWE-ID 100“缺陷”被多次检测到我们的应用程序。

根据他们的文档，补救措施是在使用模型之前检查模型上的 ModelState.IsValid 属性。我们在每个控制器操作上都这样做，但我们仍然很糟糕。下面是一个示例控制器操作。

public async Task<ActionResult> DeliverySummary (ReportsViewModel Model)
{
    if (ModelState.IsValid)
    {
        /* Other processing occurs here */ 

        //finally return View
        return View(Model);
    }
    else 
    {
        return View();
    }
}

我们的模型属性上有System.ComponentModel.DataAnnotations。

有人遇到过这种情况吗？

Answer 1

我自己一直在处理这个问题。基本的罪魁祸首是您没有在参数上设置 [Bind] ，指定允许的属性。

我以前的登录控制器操作是这样的

public ActionResult SignIn(SignInViewModel viewModel)

为了更正它，我需要它像这样阅读

public ActionResult SignIn([Bind(Include = "Email,Password,UtcOffset")]SignInViewModel viewModel)

这对 MVC 说的只是属性 Email、Password 和 UtcOffset 将从 SignInViewModel 中读取，因此如果黑客还设置了 LastLogonTime，它将被忽略。

顺便说一句，由于 Veracode 的安全检查，我认为这种模型绑定现在非常尴尬，考虑到开发人员现在必须使字符串与目标处的道具名称保持同步。好麻烦。