.NET 6中是否存在禁用Reflection的机制？第三方程序集安全管控

首先明确：Assembly Evidence本身无法直接阻止程序集使用反射，它只是CLR用来评估程序集权限的输入信息（比如标记程序集来自本地还是网络），要实现你的需求，必须结合权限控制机制。

核心思路 #

你要的不是“阻止带反射的程序集加载”，而是限制第三方程序集的反射权限——允许它们实现你的接口，但禁止通过反射访问服务器内部未公开的部分。静态检测程序集是否包含反射逻辑很难覆盖所有场景（比如动态生成反射调用），因此运行时权限限制是更可靠的方案。

具体实现方案 #

1. .NET Framework 环境 #

可以利用代码访问安全（CAS）的ReflectionPermission来限制：

• 加载第三方程序集时，为其分配一个自定义权限集，将ReflectionPermission设置为NoFlags，完全禁止反射操作。
• 如果第三方程序集尝试调用反射API，CLR会直接抛出SecurityException，阻止其执行。
• 注意：.NET Framework 4.0+ 默认调整了CAS策略，需要在配置文件中启用部分CAS功能，或者使用SecurityPermissionFlag配合控制。

示例代码片段：

// 创建无反射权限的权限集
PermissionSet restrictedPermissions = new PermissionSet(PermissionState.None);
restrictedPermissions.AddPermission(new SecurityPermission(SecurityPermissionFlag.Execution));
// 只允许执行，禁止反射
restrictedPermissions.AddPermission(new ReflectionPermission(ReflectionPermissionFlag.NoFlags));

// 用该权限集加载第三方程序集
Assembly.LoadFrom("ThirdParty.dll", null, restrictedPermissions);

2. .NET Core/.NET 5+ 环境 #

CAS已被废弃，改用AssemblyLoadContext和权限模型结合：

• 自定义AssemblyLoadContext，在加载第三方程序集时，通过PermissionSet限制其反射权限。
• 可以通过权限特性标记扩展接口实现类，或者在加载时动态应用权限限制。
• 同时可利用.NET Core+的环境隔离能力，进一步限制第三方程序集的访问范围。

3. 加载前的初步检测（可选） #

如果一定要在加载前做初步筛选，可以用IL分析工具（比如Mono.Cecil）扫描程序集的IL代码，检查是否引用了System.Reflection命名空间下的核心方法（如Assembly.GetType、Activator.CreateInstance等）。但这种方式存在漏判风险，比如程序集可能通过动态字符串拼接调用反射，静态扫描无法识别，因此只能作为辅助手段。

关于Assembly Evidence的作用 #

Evidence主要用来标识程序集的来源（如本地文件系统、互联网），CLR会根据Evidence映射到预设的权限集。你可以给第三方程序集分配Zone为Internet的Evidence，让CLR自动应用更严格的默认权限集，但这只是间接限制，不如直接自定义权限集精准。

内容的提问来源于stack exchange，提问作者Loligans