Checkmarx V9.4 在 Heap_Inspection 的改變(ASPX)

前言

之前在 ASP.NET WebForm ASPX 中，只要有 Password 等機敏性名稱的元件、屬性及變數都會被 Checkmarx 找出 Heap Inspection ，例如登入頁面的 <asp:TextBox ID="txtPassword" TextMode="Password" runat="server"></asp:TextBox> 欄位。而且該問題還是中風險(在 Checkmarx V8.9測試)。

Checkmarx V9.4

把相同的程式碼放到 Checkmarx V9.4 有以下幾點改變，

1. 風險等級由變成了低風險
2. 全域屬性/變數才會被判斷為 Heap Inspection 風險

所以只要在 Login 的事件處理中，接收到 Password 欄位值，
並進行使用者帳/密驗證，在 Checkmarx V9.4 中判斷出 Heap_Inspection 的風險。