asp.net-web-api - Veracode 问题 CWE 915

Question

我在我的 ASP.NET 核心 Web API 中有一个 POST 方法，它将模型作为参数(将 POST 内容直接绑定(bind)到模型)。该模型包含所有参数作为可选参数。在使用 Veracode 扫描 Web 服务时，我遇到了 CSE 915 缺陷 1(ErrorReporter 服务原因导致的输入验证不足。)这是 MVC EF 应用程序的可能情况。

我已经完成了 article .它是说将 Bind 属性与 Include 和 Exclude 属性一起使用。但就我而言，我没有任何必须传入模型的参数。

是否有任何替代方法来解决此问题或任何属性，我可以使用它来删除代码本身中此特定方法的 Veracode 扫描。

Answer 1

输入验证不充分是由于直接使用用户输入来做出决定造成的，可以通过清理所接受的输入来克服。

var userInput = new Sanitize(userInput).Value;

可以将此 Sanitize 方法放在项目的适当类中

public Sanitize(dynamic input)
{
    string inputValue = Convert.ToString(input);
    Value = inputValue.Replace("<", "").Replace(">", "");
}