IOC d'injection de dépendance de compilération / post-construction?

d'une perspective de sécurité en général, l'utilisation d'un conteneur DI ne présente aucune menace supplémentaire pour votre application.

Lorsque vous écrivez un service (tel que Web Service ou site Web), l'attaquant ne pouvait modifier que le comportement di configuré de l'application lorsque cette application ou cette serveur a déjà été compromise. Lorsque cela se produit, le serveur doit être considéré comme perdu (vous devrez reformater ce serveur ou le jeter complètement). DI ne fait pas cela pire, car un conteneur DI ne permet généralement pas que le comportement soit changé de l'extérieur. Vous devrez faire quelque chose de très bizarre pour que cela se produise.

Pour une application qui fonctionne sur la machine de l'utilisateur, vous devez toujours considérer que l'application doit être compromise, car un attaquant peut décompiler votre code, modifier le comportement au moment de l'exécution, etc. à nouveau, DI ne fait pas cela Pire, car vous ne pouvez vous protéger que contre les attaques sur la limite de service. Cette application client doit communiquer avec le serveur et l'endroit où stocker vos avoirs précieux est dans les limites de service. Par exemple, vous ne devez jamais stocker un mot de passe de compte dans une DLL sur le client. Peu importe que cela soit crypté ou non.

L'utilisation de DI cependant, peut le rendre un peu plus facile pour un attaquant de modifier le comportement d'une application client, en particulier lorsque vous configurez tout en XML. Mais cela détient tout ce que vous stockez dans le fichier de configuration. Et si c'est votre seule ligne de défense (avec ou sans DI), vous êtes de toute façon vissée.

Cela semble être un point d'attaque si quelqu'un voulait changer la Comportement de mon application

Veuillez noter que toute application peut être décompilée, modifiée et recompantée. Peu importe que ce soit géré (.NET, Java) ou non (C ++), ou obscurci ou non. Encore une fois, d'une perspective de sécurité, peu importe si vous faites de l'exécution DI ou de la compilation-Time DI. Si tel est un problème, ne déployez pas ce code sur des machines que vous n'avez pas de contrôle.

Comme discuté, vos raisons citées de faire cela ne s'additionnent pas. Cependant, Philip Laureano (Linfu Auteur) a fait un Projet Hiro < / a> Un peu de temps qui fait le pré-déploiement di. Aucune idée si elle allait n'importe où ...

Je travaille sur un conteneur de compilée IOC pour .NET Utilisation des générateurs de sources:

HTTPS: // github.com/yairhalberstadt/stronginject p>

https: // www .nuget.org / forfaits / StrongInject / p>

Avec celui-ci, vous pouvez procéder comme suit: P>

using StrongInject;

[Registration(typeof(Foo), typeof(IFoo))]
[Registration(typeof(Bar), Scope.SingleInstance)]
public class Container : IContainer<IFoo> {}

public static class Program
{
    public static void Main()
    {
        new Container().Resolve(foo => //use foo here);
    }
}