C# ASP.NET中如何修复Fortify扫描出的XPath注入问题

问题场景 #

对C# ASP.NET项目执行Fortify静态安全扫描时，以下代码被检出XPath注入风险，漏洞定位行是XmlNode usernameTokenNode = securityNode.SelectSingleNode(officePrefix + "UsernameToken", ns);。已新增正则校验逻辑校验officePrefix参数合法性，但Fortify仍持续触发该告警。
原始问题代码：

string username = string.Empty;
string password = string.Empty;
string officePrefix = "";
if (!String.IsNullOrEmpty(securityNode.Prefix))
{
    officePrefix = securityNode.Prefix + ":";
    ns.AddNamespace(securityNode.Prefix, securityNode.Namespace);
}
var regexPattern = ConfigurationManager.AppSettings["xxx"];
var regexItem = new Regex(regexPattern, RegexOptions.None);
if(regexItem.IsMatch(officePrefix ))
{
    //wsse:UsernameToken
    XmlNode usernameTokenNode = securityNode.SelectSingleNode(officePrefix + "UsernameTkn", ns);

    username = usernameTokenNode.SelectSingleNode(officePrefix + "name", ns).InnerText;
    password = usernameTokenNode.SelectSingleNode(officePrefix + "Pwd", ns).InnerText;
}

原防护方案失效原因 #

Fortify静态扫描基于污点传播链路判定风险：从非可信输入源（污点源）到风险执行点（污点汇聚点）的路径上，如果没有可被规则识别的有效净化逻辑，就会持续告警。原有正则校验失效的核心原因有三点：

• 正则规则从AppSettings配置读取，Fortify判定配置项属于可被篡改的非可信内容，不认可该校验规则的防护有效性
• 若正则未添加^、$做首尾锚定，本身存在绕过风险，不符合静态扫描的校验规则要求
• 校验逻辑未对输入做强制拦截分支（校验失败未直接终止流程），数据流分析仍判定officePrefix为带污点的可控输入

可彻底解决告警的修复方案 #

优先选择从根源消除注入点的方案，静态扫描误报率为0：

• 方案1：移除外部可控输入的XPath拼接逻辑（推荐）
  XML命名空间前缀只是命名空间URI的别名，无需依赖外部传入的Prefix值构造XPath。直接在代码中定义固定前缀，绑定可信的命名空间URI，彻底移除外部输入参与XPath拼接的可能，不存在任何注入空间，Fortify可100%识别为安全代码。
  修复示例：

  string username = string.Empty;
  string password = string.Empty;
  // 代码内定义固定前缀，不使用外部传入的Prefix值
  const string fixedNsPrefix = "wssec";
  XmlNamespaceManager ns = new XmlNamespaceManager(securityNode.OwnerDocument.NameTable);
  // 绑定业务侧固定可信的命名空间URI
  ns.AddNamespace(fixedNsPrefix, securityNode.Namespace);
  string xpathBase = $"{fixedNsPrefix}:";
  
  // XPath全量使用固定前缀拼接，无外部可控输入
  XmlNode usernameTokenNode = securityNode.SelectSingleNode(xpathBase + "UsernameTkn", ns);
  if (usernameTokenNode != null)
  {
      var nameNode = usernameTokenNode.SelectSingleNode(xpathBase + "name", ns);
      var pwdNode = usernameTokenNode.SelectSingleNode(xpathBase + "Pwd", ns);
      username = nameNode?.InnerText ?? string.Empty;
      password = pwdNode?.InnerText ?? string.Empty;
  }
  

• 方案2：硬编码严格白名单校验（必须使用外部传入Prefix时选用）
  若业务逻辑必须使用传入的Prefix值，需将校验规则改为代码内硬编码的严格白名单，仅允许XML命名空间前缀合法字符（命名空间前缀规范要求首字符为字母，后续仅允许字母、数字、下划线、中划线、点），且校验失败直接终止流程，让Fortify识别到污点已被完全净化。
  校验逻辑示例：

  // 硬编码严格白名单正则，不读取外部配置，添加首尾锚定、长度限制
  Regex validPrefixRule = new Regex(@"^[a-zA-Z][a-zA-Z0-9_\-\.]{0,20}$", RegexOptions.Compiled);
  string officePrefix = string.Empty;
  if (!string.IsNullOrEmpty(securityNode.Prefix))
  {
      // 校验不通过直接抛出异常，禁止放行
      if (!validPrefixRule.IsMatch(securityNode.Prefix))
      {
          throw new System.Security.SecurityException("非法命名空间前缀");
      }
      officePrefix = securityNode.Prefix + ":";
      ns.AddNamespace(securityNode.Prefix, securityNode.Namespace);
  }
  // 后续原有XPath逻辑保留即可
  

• 补充优化点
  所有SelectSingleNode调用后必须增加null判断，避免节点不存在时触发空引用异常，该逻辑也可辅助静态扫描工具识别代码的安全控制边界。

内容的提问来源于stack exchange，提问作者zia