Предотвращение Xpath Injection на .net 2.0

Question

У меня есть следующий код, чтобы получить некоторые переводы для старого сайта (также, как это его в некоторых других функциональных возможностей, которые имеют более важную информацию.)

Dim myDoc As New XmlDocument 
myDoc.Load(Server.MapPath("\GlobalContent\TranslationXML\TranslationXML.xml")) 
Dim translationText As XmlNodeList = myDoc.SelectNodes("Transaltions/language[@code='" + hLang.Value + "']") 

Hlang происходит от пользовательский ввод. Как вы можете видеть, это уязвимо для Xpath injection Attacks.

Я пытаюсь применить то же самое я делаю с инъекцией SQL, который является использование параметров, но не нашел, как это сделать в 2.0

Я попробовал этот учебник: http://weblogs.asp.net/cazzu/archive/2003/10/07/30888.aspx

Но DynamicContext является частью библиотеки, и я не могу ее использовать.

Может ли кто-нибудь вести меня о том, как я могу это исправить?

Answer 1

К сожалению, ни XmlDocument, ни XPathDocument не предлагают хороших средств для компиляции XPath с подстановкой (аналогично скомпилированному SQL-запросу). Поэтому я рекомендую несколько более подробный, но безопасный подход. Используйте первичный XPath для получения XmlNodeList и итерации через каждый узел и проверяйте атрибут, пока не найдете одно или несколько совпадений:

Пример кода C# (я бы написал VB, но я довольно ржавый):

XmlNodeList nodes = myDoc.SelectNodes("Transaltions/language"); 
foreach (XmlNode node in nodes) { 
    XmlElement elem = (XmlElement)node; 
    if (elem.GetAttribute("code") == hLang.Value) { 
     //elem is your match 
    } 
} 

Answer 2

Основная идея в предотвращении инъекции XPath является предварительной компиляции выражение XPath вы хотите использовать, и чтобы переменные (параметры) в нем, которые во время процесс оценки будет заменен введенными пользователем значениями.

В .NET:

1. Попросите XPath expresion скомпилированных с XPathExpression.Compile().

2. Использование XPathExpression.SetContext() Метод указать в качестве контекста объекта XsltContext, устраняющее некоторые специфические переменные для введенных пользователем значений.

Вы можете прочитать больше о том, как оценивать выражение XPath, которое содержит переменные here.

Этот текст содержит хорошие и полные примеры.