False positive: "Missing cross-site request forgery token validation" in C# API for endpoint with no cookie/session tokens

未关闭

#21,665 创建于 2026年4月8日 0 条评论 1 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 45/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 冷清
技术栈: csharp
领域: api, security

调研方向

首先查看提交 5bb31afc834f53d5ea719d782744ff9c7ab70fc0 以及此 issue 中的 C# API 示例，以了解为什么该发现适用。找到查询入口及其现有测试，然后验证仅使用 API key 的 server-to-server 端点不会被标记，而使用 cookie 或 token 身份验证的端点仍会被标记。

由索引模型根据 Issue 内容生成。

描述

false-positive

Description of the false positive

We are using a .NET 10 Api and since commit https://github.com/github/codeql/commit/5bb31afc834f53d5ea719d782744ff9c7ab70fc2 we get a false positive on a server -> server endpoint where we have a ApiKey in the header with no tokens or cookies.

Is it possible to extend the check to look if cookie/token authentication is used instead of a ApiKey?

Code samples or links to source code

public class Controller()
{

    [HttpPost()]
    public string Execute()
    {
        return "test";
    }

主要语言: CodeQL
星标: 10.1k
派生: 2.1k
平均合并: 2 天 10 小时
30 天内合并 PR: 134

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

github/codeql 的其他 Issue

JavaScript externs model StorageEvent() with no type argument 未关闭

难度 2/5 1-3 小时新手友好度 84/100

github/codeql#22632 · 2026年9月20日创建
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未关闭

难度 2/5 1-3 小时新手友好度 82/100

github/codeql#22556 · 2026年9月14日创建
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未关闭

难度 2/5 1-3 小时新手友好度 78/100

github/codeql#21637 · 2 条评论 · 2026年4月2日创建
Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未关闭

false-positive

难度 2/5 1-3 小时新手友好度 70/100

github/codeql#21076 · 3 条评论 · 3 个 reaction · 2025年12月21日创建
Python: `isType` treats any object in a module named `*typing` as a type, corrupting points-to for unrelated containers 未关闭

false-positive

难度 3/5 1-2 天新手友好度 68/100

github/codeql#22621 · 2026年9月18日创建

查看 github/codeql 的全部 Issue

相似的 Issue

[Bug]: Discord Activity titles with emoji are rejected as over 80 characters when they are not 未关闭

clawsweeper:linked-pr-open clawsweeper:no-new-fix-pr clawsweeper:source-repro impact:message-loss issue-rating: 🦞 diamond lobster maturity:stable P2

难度 2/5 1-3 小时新手友好度 88/100

openclaw/openclaw#156094 · 1 条评论 · 1 个 reaction · 2026年9月23日创建
[Bug] Trino/Presto queries fail when query metadata contains non-ASCII characters 未关闭

难度 2/5 1-3 小时新手友好度 76/100

growthbook/growthbook#7100 · 2026年9月23日创建
Reflected XSS in loopback OAuth callback via error_description 未关闭

难度 2/5 1-3 小时新手友好度 78/100

punkpeye/mcp-remote#369 · 2026年9月23日创建
WebPubSubServiceClient.GetClientAccessUri (sync) drops the groups argument on the TokenCredential path 未关闭

Client customer-reported needs-team-attention question Service Attention WebPubSub

难度 2/5 1-3 小时新手友好度 76/100

Azure/azure-sdk-for-net#63292 · 3 条评论 · 1 个 reaction · 2026年9月22日创建
`GoogleModel` returns Gemini's interim thought images as output when not streaming 未关闭

bug p:3-mid pydanty:bug

难度 2/5 1-3 小时新手友好度 88/100

pydantic/pydantic-ai#8643 · 1 条评论 · 2026年9月22日创建

更多 Backend & API Design Issue