Newtonsoft JSON.NET 安全漏洞实现

Question

最近曝光的有关 .NET 序列化的安全漏洞的建议不明确。 安全使用 JSON.NET 的正确方法是什么？

JSON.NET 的详细指南：https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf#page=5

应该使用 TypeNameHandling.All 还是应该使用 TypeNameHandling.None？

一般说明：https://www.bleepingcomputer.com/news/security/severe-deserialization-issues-also-affect-net-not-just-java/

Answer 1

看来答案就在我面前documentation：

“使用非 None 的值反序列化时，应使用自定义 SerializationBinder 验证传入类型。”