System.Linq.Dynamic.Core 安全分析与改进方案

System.Linq.Dynamic.Core 是一个流行的.NET库，它允许开发者在运行时构建LINQ查询。近期该库被发现存在两个重要的安全问题，可能允许通过反射机制获取程序信息或访问静态属性/字段。

问题详情

反射类型信息访问问题

该问题允许通过反射机制访问程序集中的类型信息。可以构造特定的查询表达式，获取程序集中定义的所有类型及其特性信息。这可能导致了解程序集内部结构、依赖的NuGet包信息等数据。

示例代码可以列出程序集中所有类型的自定义特性信息：

string.Join("\r\n", GetType().Assembly.DefinedTypes.SelectMany(t => t.CustomAttributes).Select(a => a.AttributeType).Select(t => t.AssemblyQualifiedName)

静态属性/字段访问问题

第二个问题允许直接访问静态类中的属性和字段。这意味着如果应用程序中有存储信息的静态类（如配置信息等），可以直接获取这些数据。

示例代码可以获取静态类中的令牌信息：

AppSettings.SettingsProp["token"]

问题影响范围

• 反射类型信息访问问题影响System.Linq.Dynamic.Core 1.0.0及以上版本
• 静态属性/字段访问问题影响System.Linq.Dynamic.Core 1.3.10及以上版本

改进方案

开发团队在1.6.0版本中实施了以下改进措施：

1. 移除object类型的预定义支持

核心改进措施是从预定义类型(PredefinedTypes)中移除了object类型。这一变更阻止了通过GetType()方法访问反射API的途径，因为GetType()是object类型的方法。

2. 强化类型访问控制

对于静态属性/字段的访问，现在要求目标类型必须满足以下条件之一：

• 使用DynamicLinqType特性标记
• 通过AdditionalTypes添加到DefaultDynamicLinqCustomTypeProvider中

这一变更确保了只有显式允许的类型才能被动态查询访问。

3. 选择性恢复object方法支持

考虑到兼容性需求，1.6.0版本提供了配置选项来选择性启用object类型的某些方法：

var config = new ParsingConfig {
    AllowEqualsAndToStringMethodsOnObject = true
};

启用此配置后，可以恢复对Equals和ToString等基本方法的支持，但GetType()方法仍被禁止，确保安全性不受影响。

升级建议

所有使用System.Linq.Dynamic.Core的项目应考虑升级到1.6.0或更高版本。升级后需要检查：

1. 所有使用object类型方法的查询是否需要调整
2. 所有需要访问的静态类型是否已正确标记或配置
3. 根据实际需求决定是否启用AllowEqualsAndToStringMethodsOnObject选项

对于暂时无法升级的项目，可以考虑在csproj中添加以下配置作为临时解决方案：

<PackageReference Include="System.Linq.Dynamic.Core" Version="1.5.1">
    <NoWarn>NU1903</NoWarn>
</PackageReference>

总结

System.Linq.Dynamic.Core 1.6.0版本通过精细化的类型访问控制有效解决了安全问题，在保持库的核心功能同时增强了安全性。开发者应根据项目实际情况评估升级影响，合理配置安全选项，确保应用程序既安全又功能完整。