如何修复MVC应用中HttpClient.GetAsync引发的Veracode CWE201漏洞？

问题根源 #

Veracode告警的代码行HttpResponseMessage response = client.GetAsync(client.BaseAddress).Result;存在两个核心问题：

1. 使用.Result同步阻塞异步方法调用，可能引发线程死锁，同时违反异步编程规范，这是触发CWE201漏洞告警的直接原因
2. 每次调用方法都新建HttpClient实例，会导致套接字资源耗尽，属于潜在的资源泄漏问题

修复方案 #

直接将同步阻塞调用替换为异步await，同时优化HttpClient的使用方式，修正后的代码如下：

public static async Task<R?> SendAsync<R>(string url)
{
    // 若在ASP.NET MVC中，推荐通过IHttpClientFactory注入HttpClient，而非每次新建
    using HttpClient client = new HttpClient();
    R? value = default;

    client.BaseAddress = new Uri(url);

    client.DefaultRequestHeaders.Accept.Clear();
    client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

    // 用await替代.Result，保持异步流程，避免阻塞死锁
    HttpResponseMessage response = await client.GetAsync(client.BaseAddress);

    if (response.IsSuccessStatusCode)
        // 若使用.NET内置方法请替换为ReadFromJsonAsync，自定义ReadAsJsonAsync则保持原调用
        value = await response.Content.ReadFromJsonAsync<R>();

    return value;
}

额外优化建议 #

• 遵循.NET异步方法命名规范，将方法名从SendSync改为SendAsync
• 在ASP.NET MVC项目中，优先使用IHttpClientFactory来管理HttpClient实例，避免频繁创建导致的资源浪费，可通过依赖注入方式注入使用
• 永远不要在异步方法中使用.Result或.Wait()来阻塞线程，这是异步编程的常见反模式，极易引发死锁问题

内容的提问来源于stack exchange，提问作者Diego