Trust_Boundary_Violation Risk

前言

我們有一個系統會將使用者的輸入內容存到 Session 之中，透過 Checkmarx 會被掃出 Trust_Boundary_Violation 的 Risk 。
原本程式中有將 Input 的值透過 Replace 將某些字串過濾掉，但 Checkmarx 卻不認它，依然出 Trust Boundary Violation 的 Risk 。

解法

即然 Replace 不行，那就改用 Regex.IsMatch 。
剛好輸入內容是文數字，所以就以下面的方式來處理，

var userInputValue = txtUserId.Text;
var pattern = @"^[a-zA-Z0-9]+$";
if (Regex.IsMatch(userInputValue, pattern))
{
    //濾掉驗證後，再指定到 Session 之中
    Session["clientInput"] = userInputValue;
}

參考資源

TRUST BOUNDARY VIOLATION