System.Linq.Dynamic.Core 中动态类型检测的安全改进与实践

背景介绍

System.Linq.Dynamic.Core 是一个流行的.NET库，它允许开发者在运行时构建LINQ查询。在最新版本(v1.6.0+)中，库对类型解析机制进行了安全改进，这影响了动态类型检测功能的使用方式。

问题现象

在v1.6.0之前的版本中，开发者可以简单地使用Is("TypeName")语法来检查对象类型。但在新版本中，这种直接的类型名称字符串解析方式会抛出"Type not found"异常，这是出于安全考虑(CVE相关修复)所做的变更。

解决方案

1. 使用DynamicLinq特性标记

最直接的解决方案是在目标类上添加[DynamicLinq]特性：

[DynamicLinq]
public class Student : Person
{
    public string Backpack { get; set; }
}

这种方式明确声明了哪些类型允许在动态LINQ查询中使用。

2. 自定义类型提供器

对于更复杂的场景，可以创建自定义的类型提供器：

public class CustomTypeProvider : DefaultDynamicLinqCustomTypeProvider
{
    public override HashSet<Type> GetCustomTypes()
    {
        var types = base.GetCustomTypes();
        types.Add(typeof(Student));
        types.Add(typeof(Teacher));
        return types;
    }
}

然后在配置中使用：

var config = new ParsingConfig
{
    CustomTypeProvider = new CustomTypeProvider()
};

var students = persons.AsQueryable().Where(config, "Is(\"Student\")");

3. 修改默认类型提供器

也可以直接修改默认类型提供器的行为，通过继承并重写相关方法：

public class MyDefaultDynamicLinqCustomTypeProvider : DefaultDynamicLinqCustomTypeProvider
{
    public override Type ResolveType(string typeName)
    {
        // 自定义类型解析逻辑
        if(typeName == "Student") return typeof(Student);
        return base.ResolveType(typeName);
    }
}

最佳实践建议

1. 显式优于隐式：明确声明允许在动态查询中使用的类型，而不是依赖自动发现机制
2. 最小权限原则：只暴露必要的类型到动态查询环境中
3. 版本兼容性检查：升级库版本时，特别注意类型解析相关的变更
4. 单元测试保障：为动态查询编写充分的测试用例，确保类型检测功能正常工作

技术原理

新版本的安全改进主要涉及类型解析机制。库现在要求显式声明哪些类型可以在动态查询中使用，而不是自动解析所有可用类型。这种改变：

• 防止了潜在的类型注入攻击
• 提高了代码的可预测性
• 减少了意外类型解析导致的问题

总结

System.Linq.Dynamic.Core在v1.6.0+版本中对类型解析机制进行了安全强化，这要求开发者更明确地管理动态查询中可用的类型。通过使用特性标记、自定义类型提供器或修改默认行为，开发者可以灵活地适应这一变化，同时确保应用的安全性。理解这些变化背后的安全考量，有助于开发者编写更健壮的动态查询代码。