安全框架：异常管理 | 缓解措施

WCF - 不要在配置文件中包含 serviceDebug 节点

示例

以下配置文件包含 <serviceDebug> 标记：

<configuration> 
<system.serviceModel> 
<behaviors> 
<serviceBehaviors> 
<behavior name=""MyServiceBehavior""> 
<serviceDebug includeExceptionDetailInFaults=""True"" httpHelpPageEnabled=""True""/> 
... 

在服务中禁用调试信息。 可通过在应用程序的配置文件中删除 <serviceDebug> 标记来实现此目的。

WCF - 不要在配置文件中包含 serviceMetadata 节点

确保在 ASP.NET Web API 中进行适当的异常处理

示例

若要控制 API 返回的状态代码，可按如下所示使用 HttpResponseException：

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        throw new HttpResponseException(HttpStatusCode.NotFound);
    }
    return item;
}

示例

若要进一步控制异常响应，可按如下所示使用 HttpResponseMessage 类：

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        var resp = new HttpResponseMessage(HttpStatusCode.NotFound)
        {
            Content = new StringContent(string.Format("No product with ID = {0}", id)),
            ReasonPhrase = "Product ID Not Found"
        }
        throw new HttpResponseException(resp);
    }
    return item;
}

若要捕捉类型不是 HttpResponseException 的未经处理的异常，可以使用异常筛选器。 异常筛选器实现 System.Web.Http.Filters.IExceptionFilter 接口。 编写异常筛选器的最简单方法是从 System.Web.Http.Filters.ExceptionFilterAttribute 类派生，并重写 OnException 方法。

示例

下面是可将 NotImplementedException 异常转换为 HTTP 状态代码 501, Not Implemented 的筛选器：

namespace ProductStore.Filters
{
    using System;
    using System.Net;
    using System.Net.Http;
    using System.Web.Http.Filters;

    public class NotImplExceptionFilterAttribute : ExceptionFilterAttribute 
    {
        public override void OnException(HttpActionExecutedContext context)
        {
            if (context.Exception is NotImplementedException)
            {
                context.Response = new HttpResponseMessage(HttpStatusCode.NotImplemented);
            }
        }
    }
}

可通过多种方法注册 Web API 异常筛选器：

• 按操作
• 按控制器
• 全局

示例

要将筛选器应用到特定的操作，请将筛选器作为特性添加到该操作：

public class ProductsController : ApiController
{
    [NotImplExceptionFilter]
    public Contact GetContact(int id)
    {
        throw new NotImplementedException("This method is not implemented");
    }
}

示例

要将筛选器应用到 controller 中的所有操作，请将筛选器作为特性添加到 controller 类：

[NotImplExceptionFilter]
public class ProductsController : ApiController
{
    // ...
}

示例

要将筛选器全局应用到所有 Web API 控制器，请将筛选器的实例添加到 GlobalConfiguration.Configuration.Filters 集合。 此集合中的异常筛选器将应用到任何 Web API 控制器操作。

GlobalConfiguration.Configuration.Filters.Add(
    new ProductStore.NotImplExceptionFilterAttribute());

示例

对于模型验证，可按如下所示，将模型状态传递给 CreateErrorResponse 方法：

public HttpResponseMessage PostProduct(Product item)
{
    if (!ModelState.IsValid)
    {
        return Request.CreateErrorResponse(HttpStatusCode.BadRequest, ModelState);
    }
    // Implementation not shown...
}

请查看参考部分中的链接，了解有关 ASP.NET Web API 中异常处理和模型验证的更多详细信息

不要在错误消息中公开安全详细信息

实现默认错误处理页

在 IIS 中将部署方法设置为 Retail

异常应安全失败

示例

        public static bool ValidateDomain(string pathToValidate, Uri currentUrl)
        {
            try
            {
                if (!string.IsNullOrWhiteSpace(pathToValidate))
                {
                    var domain = RetrieveDomain(currentUrl);
                    var replyPath = new Uri(pathToValidate);
                    var replyDomain = RetrieveDomain(replyPath);

                    if (string.Compare(domain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                    {
                        //// Adding additional check to enable CMS urls if they are not hosted on same domain.
                        if (!string.IsNullOrWhiteSpace(Utilities.CmsBase))
                        {
                            var cmsDomain = RetrieveDomain(new Uri(Utilities.Base.Trim()));
                            if (string.Compare(cmDomain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                            {
                                return false;
                            }
                            else
                            {
                                return true;
                            }
                        }

                        return false;
                    }
                }

                return true;
            }
            catch (UriFormatException ex)
            {
                LogHelper.LogException("Utilities:ValidateDomain", ex);
                return true;
            }
        }

如果发生某种异常，上述方法始终返回 True。 如果最终用户提供了浏览器支持的、但 Uri() 构造函数不支持的错误格式 URL，则会引发异常，受害者会转到有效但格式不当的 URL。