c# - C#中动态调用的限制功能

Question

我创建了一些实用程序代码，允许我获取输入到我们的内容管理系统中的文本，并使用类似于 this 的方法动态编译和调用它。 .

但这会带来安全风险——因为内容作者可能会错误地(或更糟——恶意地)输入代码，而这些代码会执行我正在寻找的内容之外的事情。保持此功能开放但能够防止编写某些类型的代码的任何建议？例如，有一些明显的限制，比如写入文件系统。

我最初的想法是排除某些程序集，但我很好奇是否有人对此有任何聪明的想法。

Answer 1

不要这样做。用户可以编写的内容有无穷无尽的可能性，您将无法阻止所有这些可能性。在安全方面，您应该始终指定用户可以做什么而不是他不能做什么(白名单而不是黑名单)，因为如果您不这样做，您会错过一些东西。

在这种特定情况下，允许用户编写任意代码似乎从来都不是一个好主意。相反，您应该选择用户可以执行的特定操作，并为每个操作添加一个按钮/控件。