ST-SEC-009 - 安全字符串误用

规则 ID：ST-SEC-009

作用域：工作流

描述

此规则用于检查工作流中是否已误用“安全字符串”类型。使用此字符串类型的目的在于避免将可能敏感的字符串存储为纯文本。如果某些活动接受敏感信息作为输入，但不支持“安全字符串”类型，则可以将其排除在此规则之外。

建议

“安全字符串”类型不得用于任何非预期用途。因此，尝试将“安全字符串”转换为“字符串”可能会造成安全隐患。

根据 Microsoft 官方文档，如果“字符串”对象包含任何敏感信息，则会增加使用后造成数据泄露的风险。

另外，“安全字符串”类型的作用域应当非常有限，最好是与创建它们时所用的作用域相同。

修改规则

在项目设置窗口中，选择“工作流分析器”选项卡。找到并选中相应规则。

您可以通过在“排除的活动”字段中添加用逗号分隔的命名空间，以排除不支持“安全字符串”类型的活动。

重置为默认值

要将值重置为默认值，请右键单击“项目设置”窗口中的规则，然后单击“重置为默认值”。