c# - 在 C# 中通过 XML 发送潜在敏感数据

Question

在 C# 中通过 XML 向 Web 服务发送潜在敏感数据的最佳实践是什么？

如果我知道我将使用的数据完全微不足道，我会倾向于使用 XmlSerialization，但序列化需要磁盘访问才能正常工作这一事实令我担心 - 似乎有可能存在敏感数据存储在磁盘上的临时文件中。

如果不是 XmlSerialization，那么最好的方法是什么？

Answer 1

使用 XmlSerializer 时，创建的临时文件仅包含类型信息 - 即表示数据传输对象类型的临时程序集。它们不包含实例化对象本身的实际数据。类型信息可能是敏感的，但也可能不是。

上面评论中的链接中提到的威胁是关于攻击者注入(inject)恶意代码并覆盖这些生成的程序集的可能性 - 而不是数据泄露。

事实上，WCF 默认情况下会使用 DataContractSerializer，而不是 XmlSerializer。此链接

http://msdn.microsoft.com/en-us/library/ms733135.aspx

说明如何通过在配置文件或代码中创建已知类型列表(强命名类型)来防止 DataContractSerializer 加载恶意类型。那么问题就仅限于保证配置文件的安全......

我现在可以停下来吗;o)