セキュリティ フレーム: 例外管理 |緩和 策

WCF - 構成ファイルに serviceDebug ノードを含めないでください

例

次の構成ファイルには、 タグが含まれています。

<configuration> 
<system.serviceModel> 
<behaviors> 
<serviceBehaviors> 
<behavior name=""MyServiceBehavior""> 
<serviceDebug includeExceptionDetailInFaults=""True"" httpHelpPageEnabled=""True""/> 
... 

サービスのデバッグ情報を無効にします。 これを行うには、アプリケーションの構成ファイルから タグを削除します。

WCF - 構成ファイルに serviceMetadata ノードを含めないでください

ASP.NET Web APIで適切な例外処理が行われることを確認する

例

API によって返される状態コードを制御するために、次に示すように を使用できます。

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        throw new HttpResponseException(HttpStatusCode.NotFound);
    }
    return item;
}

例

例外応答をさらに制御するために、次に示すように クラスを使用できます。

public Product GetProduct(int id)
{
    Product item = repository.Get(id);
    if (item == null)
    {
        var resp = new HttpResponseMessage(HttpStatusCode.NotFound)
        {
            Content = new StringContent(string.Format("No product with ID = {0}", id)),
            ReasonPhrase = "Product ID Not Found"
        }
        throw new HttpResponseException(resp);
    }
    return item;
}

型ではないハンドルされない例外をキャッチするには、例外フィルターを使用できます。 例外フィルターは、 インターフェイスを実装します。 例外フィルターを記述する最も簡単な方法は、 クラスから派生し、OnException メソッドをオーバーライドすることです。

例

例外を HTTP 状態コードに変換するフィルターを次に示します。

namespace ProductStore.Filters
{
    using System;
    using System.Net;
    using System.Net.Http;
    using System.Web.Http.Filters;

    public class NotImplExceptionFilterAttribute : ExceptionFilterAttribute 
    {
        public override void OnException(HttpActionExecutedContext context)
        {
            if (context.Exception is NotImplementedException)
            {
                context.Response = new HttpResponseMessage(HttpStatusCode.NotImplemented);
            }
        }
    }
}

Web API 例外フィルターを登録するには、いくつかの方法があります。

• アクションごと
• コントローラー別
• 世界的に

例

特定のアクションにフィルターを適用するには、アクションに属性としてフィルターを追加します。

public class ProductsController : ApiController
{
    [NotImplExceptionFilter]
    public Contact GetContact(int id)
    {
        throw new NotImplementedException("This method is not implemented");
    }
}

例

のすべてのアクションにフィルターを適用するには、 クラスに属性としてフィルターを追加します。

[NotImplExceptionFilter]
public class ProductsController : ApiController
{
    // ...
}

例

すべての Web API コントローラーにフィルターをグローバルに適用するには、フィルターのインスタンスを コレクションに追加します。 このコレクション内の例外フィルターは、任意の Web API コントローラー アクションに適用されます。

GlobalConfiguration.Configuration.Filters.Add(
    new ProductStore.NotImplExceptionFilterAttribute());

例

モデルの検証では、次に示すように、モデルの状態を CreateErrorResponse メソッドに渡すことができます。

public HttpResponseMessage PostProduct(Product item)
{
    if (!ModelState.IsValid)
    {
        return Request.CreateErrorResponse(HttpStatusCode.BadRequest, ModelState);
    }
    // Implementation not shown...
}

ASP.NET Web APIでの例外的な処理とモデル検証の詳細については、参照セクションのリンクを確認してください

エラー メッセージでセキュリティの詳細を公開しない

既定のエラー処理ページを実装する

IIS で展開方法を Retail に設定する

例外は安全に処理される必要があります

例

        public static bool ValidateDomain(string pathToValidate, Uri currentUrl)
        {
            try
            {
                if (!string.IsNullOrWhiteSpace(pathToValidate))
                {
                    var domain = RetrieveDomain(currentUrl);
                    var replyPath = new Uri(pathToValidate);
                    var replyDomain = RetrieveDomain(replyPath);

                    if (string.Compare(domain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                    {
                        //// Adding additional check to enable CMS urls if they are not hosted on same domain.
                        if (!string.IsNullOrWhiteSpace(Utilities.CmsBase))
                        {
                            var cmsDomain = RetrieveDomain(new Uri(Utilities.Base.Trim()));
                            if (string.Compare(cmDomain, replyDomain, StringComparison.OrdinalIgnoreCase) != 0)
                            {
                                return false;
                            }
                            else
                            {
                                return true;
                            }
                        }

                        return false;
                    }
                }

                return true;
            }
            catch (UriFormatException ex)
            {
                LogHelper.LogException("Utilities:ValidateDomain", ex);
                return true;
            }
        }

何らかの例外が発生した場合、上記のメソッドは常に True を返します。 エンドユーザーが形式が正しくないURLを提供し、ブラウザはこれを受け入れるが、コンストラクタは受け入れない場合、例外が発生し、利用者は有効ではあるが、形式が正しくないURLに移動することになります。