Как сделать код C#, введенный пользователем, безопасным?

Question

Я строй условного форматирования функции, в котором пользователь может ввести выражение как

someFieldValue == "someValue" 

И мы применяем форматирование на основе результата этого выражения. Самый быстрый способ сделать это (с полнофункциональным синтаксисом выражений), по-видимому, связан с CSharpCodeProvider.CompileAssemblyFromSource.

Поскольку выражение введено пользователем, это огромное отверстие безопасности (например, пользователь может ввести выражение, someFieldValue == Process.Start("shutdown","/s /t 0")).

Вопрос:IF это было для производственной системы, как я мог убедиться, что выражение, введенное не вызывает проблем? Сейчас это всего лишь внутренний инструмент, но в случае, если мы выставим его в производственную систему, я хочу быть готовым и не спускаться по пути (C# CodeDom), только чтобы отказаться от него позже.

Некоторые вещи, которые будут рассматриваться небезопасным:

• Выход из приложения
• Доступ/изменение локальных ресурсов, таких как параметры файлов/реестра/системы
• Изменение объектов в памяти
• разбивая процесс вызова
• Запуск приложений
• ...

Поскольку это неразумно перечислить все вещи, которые вы не может сделать, мое ощущение, что решение будет включать в себя изменения, введенные пользователем выражение, так что работает на прокси-объект, который предоставляет все возможности, мы готовы для выражения выражения. Это означало бы не допускать произвольные вызовы функций в выражении. Это также означает, что выражение больше не является стандартным кодом C#, и, в конце концов, для этого может быть более практичным использовать для этого общий синтаксис языка.

Преимущества использования C#: HUGE, потому что мы хотим разрешить «плагины» на C#, которые могут использоваться в выражениях, и это позволяет легко интегрировать существующий код. Я согласен с тем, что одним из решений является использование языка сценариев, такого как javascript, но я хотел бы убедиться, что мы должны сначала исключить C#.

Answer 1

Я думаю, вы должны взглянуть на это;

Assembly.CreateInstance and security

Рекомендуемый подход для этого является выполнение подозрительного кода в AppDomain изолированного. Несколько причин приводятся в http://blogs.msdn.com/b/shawnfa/archive/2006/04/19/579066.aspx, а еще более важным является то, что большинство других потенциальных подходов устарели от .NET 4.0.