ASP.NET MVC遇Veracode CWE 1174错误：模型验证配置不当排查

DevOps 小满

2026-8-3

排查ASP.NET MVC模型验证不当（CWE 1174）问题的关键点

确认模型验证是否被主动跳过
检查控制器代码里有没有ModelState.Clear()、TryValidateModel(searchModel, excludeProperties: ...)这类跳过验证的逻辑，或者全局配置（Startup.cs/Program.cs）里是否禁用了自动模型验证，比如移除了验证相关的默认配置项。
检查Bind特性是否干扰验证触发
虽然用了[Bind(include: "SSN")]限制绑定属性，但部分静态扫描工具可能对这种写法存在误判，或者绑定过程中验证逻辑未被正确触发。可以尝试移除Bind特性，直接接收SearchModel参数，再测试Veracode是否还报同样错误。
补充完整的验证规则
仅[MaxLength(11)]可能不足以满足扫描工具对输入验证的要求。可以根据SSN的实际规则补充注解：比如用[RegularExpression(@"^[0-9]{11}$")]限制格式、[MinLength(11)]确保长度达标，若字段必填则加上[Required]，让验证逻辑更严谨。
确保控制器显式检查ModelState
即使加了数据注解，也需要在控制器方法开头主动验证模型状态：
```
public async Task<IActionResult> Search([Bind(include: "SSN")] SearchModel searchModel)
{
    if (!ModelState.IsValid)
    {
        return BadRequest(ModelState);
    }
    // do something
}
```
静态扫描工具会因为代码中没有显式检查ModelState，判定验证逻辑未被正确执行。
检查全局验证过滤器配置
确认项目中没有移除默认的ValidateModelAttribute，如果是.NET 6+，可以在Program.cs里检查是否保留了如下配置：
```
builder.Services.AddControllersWithViews()
    .AddMvcOptions(options =>
    {
        options.Filters.Add(new ValidateModelAttribute());
    });
```
缺少这个过滤器会导致自动验证不触发，进而被Veracode判定为验证不当。
验证扫描工具是否存在误判
部分静态扫描工具对可空字符串且初始化为string.Empty的模型属性可能存在误判。可以尝试修改模型属性为public string? SSN { get; set; }（去掉默认赋值），再重新提交扫描测试。