Swift中Codable类的CWE-502问题如何解决？是否为误报？

问题背景 #

Snyk.io告警指出一个实现了Codable的Swift类class Foo: Codable { ... }存在**CWE-502（不可信数据反序列化）**问题——应用反序列化不可信数据时未充分验证结果有效性，可能导致攻击者控制执行状态或流程。报告建议采用NSSecureCoding修复，但提问者认为该方案不适用，同时有两个疑问：

1. 是否可通过代码修改解决该问题？
2. 该问题是否有效，是否为误报？

问题1：能否通过代码修改解决？ #

可以，但无需硬套NSSecureCoding，根据你的使用场景选对应方案：

• 仅用于Swift原生JSON/PropertyList解码：
  直接在解码流程中添加严格的字段校验即可，不用适配NSSecureCoding：
  1. 自定义init(from decoder: Decoder)方法，放弃自动合成的解码逻辑，手动控制每个字段的解码过程
  2. 解码完成后校验所有字段的合法性（比如数值范围、字符串格式、枚举值有效性），不符合则抛出解码错误
     示例代码：

  class Foo: Codable {
      let id: Int
      let status: String
      
      enum CodingKeys: String, CodingKey {
          case id, status
      }
      
      init(from decoder: Decoder) throws {
          let container = try decoder.container(keyedBy: CodingKeys.self)
          // 校验ID必须为正整数
          self.id = try container.decode(Int.self, forKey: .id)
          guard self.id > 0 else {
              throw DecodingError.dataCorruptedError(forKey: .id, in: container, debugDescription: "ID must be positive")
          }
          // 校验状态值只能是指定选项
          self.status = try container.decode(String.self, forKey: .status)
          guard ["active", "inactive"].contains(self.status) else {
              throw DecodingError.dataCorruptedError(forKey: .status, in: container, debugDescription: "Invalid status value")
          }
      }
  }
  

• 需与Objective-C交互，或使用NSKeyedArchiver/Unarchiver序列化：
  此时必须适配NSSecureCoding，按报告要求操作：让类遵循NSSecureCoding协议，设置supportsSecureCoding = true，在init?(coder:)中仅使用decodeObjectOfClass(_:forKey:)这类安全解码方法，同时也要补充字段合法性校验。

问题2：告警是否有效，是不是误报？ #

要结合你的数据来源判断：

• 有效告警场景：如果你的代码会反序列化不可信来源的数据（比如网络请求的未知JSON、用户上传的文件、第三方传递的数据），自动合成的Codable解码不会做任何校验，攻击者可构造恶意数据注入非法字段或值，破坏程序状态甚至触发安全风险，此时告警有效。
• 误报场景：如果你的Codable仅用于处理App内部的可信数据（比如本地存储的用户偏好、App内部组件间传递的模型），不存在不可信数据输入的风险，此时告警大概率是误报。

内容的提问来源于stack exchange，提问作者Scott McKenzie