Newtonsoft.Json 与 System.Text.Json 多态反序列化的安全性差异解析
内容提要
多态反序列化存在安全风险，特别是在使用 Newtonsoft.Json 时，可能导致类型注入攻击。微软 CA2326 规则建议避免不安全配置。System.Text.Json 通过显式声明派生类型来增强安全性，建议优先使用该库；若使用 Newtonsoft.Json，需严格验证类型合法性。
关键要点
-
多态反序列化存在安全风险，尤其是使用 Newtonsoft.Json 时可能导致类型注入攻击。
-
微软 CA2326 规则建议避免使用不安全的 JsonSerializerSettings 配置。
-
System.Text.Json 通过显式声明派生类型来增强安全性，建议优先使用该库。
-
Newtonsoft.Json 的 TypeNameHandling 配置项缺乏默认的类型校验机制，容易被攻击者利用。
-
System.Text.Json 默认不支持多态反序列化，需显式声明允许的派生类型，从机制上规避安全风险。
-
CA2326 规则警示禁止使用 TypeNameHandling 非 None 值的配置，以防止恶意 JSON 的注入。
-
使用 SerializationBinder 可以降低 Newtonsoft.Json 的安全风险，通过白名单机制限制可反序列化的类型。
-
在实际开发中，建议优先使用 System.Text.Json，若必须使用 Newtonsoft.Json，需严格校验类型合法性。
延伸解读
多态反序列化的安全风险
多态反序列化在处理复杂对象时非常常见，但使用不当可能导致安全漏洞。特别是 Newtonsoft.Json 的 TypeNameHandling 配置，若未严格控制，攻击者可利用其灵活性进行类型注入攻击。因此，开发者在选择序列化库时需谨慎，确保理解其安全机制。
CA2326 规则的重要性
微软的 CA2326 规则明确指出，开发者应避免使用 TypeNameHandling 非 None 的配置。这一规则的实施可以有效降低潜在的安全风险，防止恶意 JSON 数据的注入。遵循这一规则是确保应用程序安全的重要步骤，尤其是在处理用户输入时。
System.Text.Json 的优势
System.Text.Json 在多态反序列化方面提供了更高的安全性，其默认不支持多态反序列化，需显式声明允许的派生类型。这种设计减少了类型注入的风险，建议开发者在新项目中优先考虑使用该库，以增强应用的安全性。
延伸问答
多态反序列化的安全风险是什么？
多态反序列化存在安全风险，尤其是使用 Newtonsoft.Json 时，可能导致类型注入攻击。
为什么建议优先使用 System.Text.Json？
System.Text.Json 通过显式声明派生类型来增强安全性，默认不支持多态反序列化，从机制上规避安全风险。
CA2326 规则的核心内容是什么？
CA2326 规则警示禁止使用 TypeNameHandling 非 None 值的配置，以防止恶意 JSON 的注入。
如何降低使用 Newtonsoft.Json 的安全风险？
可以使用 SerializationBinder，通过白名单机制限制可反序列化的类型，从而降低安全风险。
Newtonsoft.Json 的 TypeNameHandling 配置有什么问题？
TypeNameHandling 配置缺乏默认的类型校验机制，容易被攻击者利用，导致敏感类型实例化。
System.Text.Json 如何处理多态反序列化？
System.Text.Json 默认不支持多态反序列化，需通过 [JsonDerivedType] 特性或 DerivedTypes 显式声明允许的派生类型。
