.net - 将不受信任的格式字符串传递给 string.Format 是否安全？

Question

将用户提供的(不受信任的)格式字符串传递给 string.Format 是否存在安全隐患？ ?

这会导致意外的代码执行吗？它会导致无限的 CPU 或内存消耗吗？

请假设以下是不受信任的输入:

格式字符串

所有参数(假设它们是原始类型，如整数、字符串、日期时间。当然没有用户提供的类型。)

文化

抛出的异常不是问题，因为这很容易处理。

Answer 1

可以使用相当小的格式字符串生成很长的输出。这可能会导致性能问题，甚至可能导致内存不足错误。

例如 string.Format("{0,9999999}",0)产生一个消耗 20MB RAM 的字符串。您可以重复该模式以进一步增加输出大小。