System.Linq.Dynamic.Core 中动态类型检查的安全改进与实践

背景介绍

System.Linq.Dynamic.Core 是一个流行的 .NET 库，它允许开发者使用字符串表达式来构建 LINQ 查询。在最新版本（1.6.0及以上）中，库对类型解析机制进行了安全改进，这影响了 Is() 方法的默认行为。

问题现象

在早期版本中，开发者可以直接使用 Is("TypeName") 来检查对象类型，如：

var students = persons.AsQueryable().Where("Is(\"Student\")");

但在 1.6.0 及以上版本中，这会抛出 ParseException，提示"Type 'Student' not found"。

安全改进原因

这一变化源于对潜在安全风险的修复。新版本引入了更严格的类型解析机制，默认情况下不再自动解析所有可用类型，以防止非预期类型注入和执行。

解决方案

方案一：使用 DynamicLinq 特性标记

最简单的方法是为需要动态解析的类型添加 [DynamicLinqType] 特性：

[DynamicLinqType]
public class Student : Person
{
    public string Backpack { get; set; }
}

方案二：自定义类型提供程序

创建自定义类型提供程序，继承 DefaultDynamicLinqCustomTypeProvider 并重写 GetCustomTypes 方法：

public class MyCustomTypeProvider : DefaultDynamicLinqCustomTypeProvider
{
    public override HashSet<Type> GetCustomTypes()
    {
        var types = base.GetCustomTypes();
        types.Add(typeof(Student));
        types.Add(typeof(Teacher));
        return types;
    }
}

然后在查询时使用自定义配置：

var config = new ParsingConfig
{
    CustomTypeProvider = new MyCustomTypeProvider()
};

var students = persons.AsQueryable().Where(config, "Is(\"Student\")");

方案三：全局类型注册

修改应用程序启动代码，全局注册需要的类型：

DynamicLinqCustomTypeProvider.RegisterType(typeof(Student));
DynamicLinqCustomTypeProvider.RegisterType(typeof(Teacher));

最佳实践建议

1. 最小权限原则：只注册确实需要动态解析的类型
2. 集中管理：建议创建一个专门的类来管理所有需要动态解析的类型
3. 性能考虑：对于频繁使用的类型，使用特性标记是最佳选择
4. 安全检查：定期审查动态解析的类型列表，移除不再需要的类型

版本兼容性说明

如果项目暂时无法升级到新版本的安全模型，可以考虑暂时锁定在 1.5.x 版本。但强烈建议尽快迁移到新版本，以获得最新的安全修复和改进。

总结

System.Linq.Dynamic.Core 1.6.0 及以上版本通过引入更严格的类型解析机制，显著提高了库的安全性。虽然这带来了一些使用上的变化，但通过特性标记、自定义类型提供程序等技术手段，开发者可以灵活地适应这一变化，同时保持代码的安全性和可维护性。