C# Windows应用如何安全加载松散XAML矢量图并防范任意代码执行

这个需求刚好踩中了WPF（以及基于.NET的Windows应用）XAML安全加载的核心场景，而且完全有标准API可以实现——不用自己造轮子！

WPF的System.Windows.Markup.XamlReader类提供了专门的安全加载机制，核心就是通过XamlReaderSettings配置白名单，精确控制哪些类型和成员可以被实例化或设置。这正是你要的“仅允许加载白名单绘图基元”的功能。

核心配置项说明 #

XamlReaderSettings里有两个关键属性用来做访问控制：

• AllowedTypes：指定允许被实例化的类型集合，任何不在这个集合里的类型都会触发XamlException，直接拒绝加载。
• AllowedMembers：指定允许被设置的属性/字段，防止恶意利用敏感属性（比如那些能执行代码的属性）。

具体实现步骤 #

1. 定义绘图基元白名单 #

先把你需要支持的所有2D绘图相关类型列出来，比如常见的：

• 各种几何图形类型：Geometry、PathGeometry、EllipseGeometry、RectangleGeometry
• 绘图元素：Path
• 画笔类型：SolidColorBrush、LinearGradientBrush
• 辅助枚举：StrokeLineJoin、Stretch

2. 配置安全加载设置 #

创建XamlReaderSettings实例，启用严格模式并添加白名单类型：

private static XamlReaderSettings GetSafeXamlSettings()
{
    var allowedTypes = new HashSet<Type>
    {
        typeof(System.Windows.Media.Geometry),
        typeof(System.Windows.Media.PathGeometry),
        typeof(System.Windows.Media.EllipseGeometry),
        typeof(System.Windows.Media.RectangleGeometry),
        typeof(System.Windows.Shapes.Path),
        typeof(System.Windows.Media.SolidColorBrush),
        typeof(System.Windows.Media.LinearGradientBrush),
        typeof(System.Windows.Media.StrokeLineJoin),
        typeof(System.Windows.Media.Stretch)
        // 按需添加更多你需要的绘图基元类型
    };

    return new XamlReaderSettings
    {
        // 禁止访问私有/受保护成员，进一步缩小攻击面
        AllowProtectedMembers = false,
        AllowPrivateMembers = false,
        // 启用白名单类型检查
        AllowedTypes = allowedTypes
    };
}

3. 安全加载松散XAML文件 #

用配置好的XamlReaderSettings加载XAML内容，捕获异常处理非法文件：

public static FrameworkElement LoadSafeVectorGraphic(string xamlFilePath)
{
    var settings = GetSafeXamlSettings();
    
    using (var streamReader = new StreamReader(xamlFilePath))
    {
        try
        {
            // 加载XAML并转换为FrameworkElement（比如Path）
            return XamlReader.Load(streamReader, settings) as FrameworkElement;
        }
        catch (XamlException ex)
        {
            // 捕获未授权类型/成员的异常，这里可以做日志或提示用户
            Debug.WriteLine($"非法XAML文件：{ex.Message}");
            return null;
        }
    }
}

额外安全优化 #

• 禁止敏感属性：比如x:Class、x:Code这类会引入代码执行的属性，在严格白名单模式下XamlReader会自动拒绝包含这些属性的XAML，不用额外处理。
• 细化成员控制：如果需要更严格的控制（比如只允许Path的Data和Stroke属性），可以配置AllowedMembers：

  settings.AllowedMembers.Add(new MemberInfo(typeof(Path).GetProperty(nameof(Path.Data))));
  settings.AllowedMembers.Add(new MemberInfo(typeof(Path).GetProperty(nameof(Path.Stroke))));
  

• UWP兼容：如果你做的是UWP应用，对应的API是Windows.UI.Xaml.Markup.XamlReader，同样有XamlReaderSettings和AllowedTypes属性，实现逻辑完全一致。

验证有效性 #

测试的时候可以故意加载包含非白名单类型（比如Button、UserControl）的XAML文件，应该会直接抛出XamlException，说明白名单机制生效了。

内容的提问来源于stack exchange，提问作者Ammo Goettsch