如何解决CodeQL检测出的string.Format非受控格式字符串漏洞？

问题根源 #

CodeQL报出的这个漏洞，核心风险在于：如果link参数来自不可信数据源（比如用户输入、远程接口返回），直接将其作为string.Format的格式字符串使用，会引发两类问题：

• 格式串中的占位符数量和传入的args数组长度不匹配时，会抛出FormatException，导致请求失败甚至服务崩溃；
• 恶意构造的格式串可能利用格式符特性（比如{0:X}这类带格式修饰的占位符）引发额外安全风险，最终导致拒绝服务。

具体解决方案 #

方案1：确保格式串为可信来源 #

如果link的格式模板是固定的（比如示例中的http://baseaddress/directory?id={0}），直接将格式串硬编码为常量，不让外部传入不可信的格式内容，仅接收参数值：

public async Task<T> GetMethod<T>(string id)
{
    using (var client = CreateClient())
    {
        // 格式串硬编码，仅参数从外部传入
        var url = string.Format("http://baseaddress/directory?id={0}", id);
        var response = await client.GetAsync(url);
        // 后续反序列化等逻辑
    }
}

// 调用示例
GetMethod<MyResultType>("123");

方案2：使用URL专用构建工具（推荐） #

因为场景是构建HTTP请求URL，更安全的方式是用.NET自带的URL构建工具，完全避免string.Format的使用，同时还能自动处理参数的URL编码：

ASP.NET Core环境

使用QueryHelpers.AddQueryString方法：

using Microsoft.AspNetCore.WebUtilities;
using System.Collections.Generic;

public async Task<T> GetMethod<T>(string baseUrl, Dictionary<string, string> queryParams)
{
    using (var client = CreateClient())
    {
        // 自动拼接查询参数并处理编码
        var url = QueryHelpers.AddQueryString(baseUrl, queryParams);
        var response = await client.GetAsync(url);
        // 后续逻辑
    }
}

// 调用示例
GetMethod<MyResultType>(
    "http://baseaddress/directory", 
    new Dictionary<string, string> { {"id", "123"} }
);

.NET Framework环境

使用UriBuilder和HttpUtility.ParseQueryString：

using System.Web;

public async Task<T> GetMethod<T>(string baseUrl, string paramName, string paramValue)
{
    using (var client = CreateClient())
    {
        var uriBuilder = new UriBuilder(baseUrl);
        var queryParams = HttpUtility.ParseQueryString(uriBuilder.Query);
        queryParams[paramName] = paramValue;
        uriBuilder.Query = queryParams.ToString();
        
        var response = await client.GetAsync(uriBuilder.Uri);
        // 后续逻辑
    }
}

// 调用示例
GetMethod<MyResultType>("http://baseaddress/directory", "id", "123");

方案3：严格验证格式串（仅万不得已时使用） #

如果必须允许外部传入link格式串，需要先验证格式串的合法性：

• 检查格式串中的占位符数量和args数组长度完全匹配；
• 过滤掉格式串中带格式修饰符的占位符（比如{0:D}、{1:X}这类），只保留基础的{n}格式。

示例验证逻辑：

using System.Text.RegularExpressions;

public async Task<T> GetMethod<T>(string link, params object[] args)
{
    // 提取格式串中的所有纯占位符
    var placeholders = Regex.Matches(link, @"\{(\d+)\}");
    // 验证占位符数量匹配，且无格式修饰符
    if (placeholders.Count != args.Length || Regex.IsMatch(link, @"\{\d+:.+\}"))
    {
        throw new ArgumentException("非法的格式字符串");
    }
    
    using (var client = CreateClient())
    {
        var response = await client.GetAsync(string.Format(link, args));
        // 后续逻辑
    }
}

总结 #

最安全的方案是避免让不可信数据作为string.Format的格式参数，优先采用方案1或方案2，尤其是方案2，既解决了格式字符串的安全问题，又能正确处理URL的编码和拼接，符合HTTP规范。

内容的提问来源于stack exchange，提问作者Sara