c# - 如何修复 C# 中 Fortify 扫描中的 Xpath 注入(inject)问题

Question

HP fortify 扫描显示 Xpath 注入(inject)问题如下所示

 string repositoryID = Request.QueryString[repositoryIDKey];
 XmlDocument fullTreeviewMarkup = new SafeXmlDocument().LoadDocument(GetTreeViewMarkupFromSessionStore(sourceGuid));     
 XmlNode repositoryNode = fullTreeviewMarkup.SelectSingleNode( String.Format( "/root/TreeViewNode/TreeViewNode[@Value=\"{0}\"]", repositoryID ) );

如何解决此 Xpath 注入(inject)问题。这里的 repositoryID 是 System.GUID。如何验证 repositoryID 是 GUID？

Answer 1

既然您已确认 repositoryID 是一个 System.Guid，那么我为您所做的编辑如下:

Guid repositoryID;

if(Guid.TryParse(Request.QueryString[repositoryIDKey], out repositoryID))
{
    XmlDocument fullTreeviewMarkup = new SafeXmlDocument().LoadDocument(GetTreeViewMarkupFromSessionStore(sourceGuid));     
    XmlNode repositoryNode = fullTreeviewMarkup.SelectSingleNode( String.Format( "/root/TreeViewNode/TreeViewNode[@Value=\"{0}\"]", repositoryID ) );
}
else
{
    //Send Error
}