WPF 部分信任安全性

通常，应限制 Internet 应用程序直接访问关键系统资源，以防止恶意损坏。 默认情况下，HTML 和客户端脚本语言无法访问关键系统资源。 由于可以从浏览器启动 Windows Presentation Foundation（WPF）浏览器托管的应用程序，因此它们应符合类似的一组限制。 为了强制实施这些限制，WPF 依赖于代码访问安全性（CAS）和 ClickOnce（请参阅 WPF 安全策略 - 平台安全性）。 默认情况下，浏览器托管的应用程序会请求 Internet 区域 CAS 权限集，而不管它们是从 Internet、本地 Intranet 还是本地计算机启动的。 据说，使用不低于完整权限集运行的应用程序会以部分信任方式运行。

WPF 提供了多种支持，确保最大限度功能在部分信任环境中安全使用，并且与 CAS 一起，为部分信任编程提供额外支持。

本主题包含以下部分：

• WPF 功能部分信任支持

• 部分信任编程

• 管理权限

WPF 功能部分信任支持

下表列出了 Windows Presentation Foundation（WPF）的高级功能，这些功能可在 Internet 区域权限集的限制内安全使用。

表 1：在部分信任中安全的 WPF 特性

下表概括介绍了 WPF 的高层次功能。 有关更多详细信息，Windows SDK 记录 WPF 中每个成员所需的权限。 此外，以下功能还包含有关部分信任执行的更多详细信息，包括特殊注意事项。

• XAML（请参阅 WPF 中的 XAML）。

• 弹出窗口（请参阅 System.Windows.Controls.Primitives.Popup）。

• 拖放（请参阅 拖放概述）。

• 剪贴板（请参阅 System.Windows.Clipboard）。

• 图像处理（见 System.Windows.Controls.Image）。

• 序列化（见 XamlReader.Load， XamlWriter.Save）。

• 打开文件对话框（请参阅 Microsoft.Win32.OpenFileDialog）。

下表概述了在 Internet 区域权限集限制内无法安全运行的 WPF 功能。

表 2：部分信任中不安全的 WPF 功能特性

部分信任编程

对于 XBAP 应用程序，超过默认权限集的代码将具有不同的行为，具体取决于安全区域。 在某些情况下，用户在尝试安装它时会收到警告。 用户可以选择继续或取消安装。 下表描述了每个安全区域的应用程序的行为，以及应用程序必须执行的作才能接收完全信任。

通常，可能超出允许权限的代码可能是独立应用程序与浏览器托管应用程序之间共享的常见代码。 CAS 和 WPF 提供了多种管理此方案的技术。

使用 CAS 检测权限

在某些情况下，库程序集中的共享代码可由独立应用程序和 XBAP 使用。 在这些情况下，代码可以执行可能需要比应用程序授予的权限集允许的权限更多的功能。 应用程序可以使用 Microsoft .NET Framework 安全性来检测它是否具有特定权限。 具体而言，它可以通过对所需权限的实例调用 Demand 方法来测试它是否具有特定权限。 以下示例显示了以下代码，该代码查询文件是否能够将文件保存到本地磁盘：

using System.IO;
using System.IO.IsolatedStorage;
using System.Security;
using System.Security.Permissions;
using System.Windows;

namespace SDKSample
{
    public class FileHandling
    {
        public void Save()
        {
            if (IsPermissionGranted(new FileIOPermission(FileIOPermissionAccess.Write, @"c:\newfile.txt")))
            {
                // Write to local disk
                using (FileStream stream = File.Create(@"c:\newfile.txt"))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to local disk.");
                }
            }
            else
            {
                MessageBox.Show("I can't write to local disk.");
            }
        }

        // Detect whether or not this application has the requested permission
        bool IsPermissionGranted(CodeAccessPermission requestedPermission)
        {
            try
            {
                // Try and get this permission
                requestedPermission.Demand();
                return true;
            }
            catch
            {
                return false;
            }
        }

Imports System.IO
Imports System.IO.IsolatedStorage
Imports System.Security
Imports System.Security.Permissions
Imports System.Windows

Namespace SDKSample
    Public Class FileHandling
        Public Sub Save()
            If IsPermissionGranted(New FileIOPermission(FileIOPermissionAccess.Write, "c:\newfile.txt")) Then
                ' Write to local disk
                Using stream As FileStream = File.Create("c:\newfile.txt")
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to local disk.")
                End Using
                End Using
            Else
                MessageBox.Show("I can't write to local disk.")
            End If
        End Sub

        ' Detect whether or not this application has the requested permission
        Private Function IsPermissionGranted(ByVal requestedPermission As CodeAccessPermission) As Boolean
            Try
                ' Try and get this permission
                requestedPermission.Demand()
                Return True
            Catch
                Return False
            End Try
        End Function

    }
}

    End Class
End Namespace

如果应用程序没有所需的权限，则调用 Demand 将引发安全异常。 除非特别说明，已授予权限。 IsPermissionGranted 封装此行为，并根据情况返回 true 或 false。

功能正常降级

能够检测代码是否拥有权限去执行它需要进行的操作，对于可从不同区域运行的代码来说是很重要的。 虽然检测区域是一回事，但最好为用户提供替代方法（如果可能）。 例如，完全信任应用程序通常允许用户在所需的任何位置创建文件，而部分信任应用程序只能在独立存储中创建文件。 如果创建文件的代码存在于由完全信任（独立）应用程序和部分信任（浏览器托管）应用程序共享的程序集中，并且这两个应用程序都希望用户能够创建文件，则共享代码应检测它在适当位置创建文件之前是否在部分或完全信任中运行。 以下代码演示了这两者。

using System.IO;
using System.IO.IsolatedStorage;
using System.Security;
using System.Security.Permissions;
using System.Windows;

namespace SDKSample
{
    public class FileHandlingGraceful
    {
        public void Save()
        {
            if (IsPermissionGranted(new FileIOPermission(FileIOPermissionAccess.Write, @"c:\newfile.txt")))
            {
                // Write to local disk
                using (FileStream stream = File.Create(@"c:\newfile.txt"))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to local disk.");
                }
            }
            else
            {
                // Persist application-scope property to
                // isolated storage
                IsolatedStorageFile storage = IsolatedStorageFile.GetUserStoreForApplication();
                using (IsolatedStorageFileStream stream =
                    new IsolatedStorageFileStream("newfile.txt", FileMode.Create, storage))
                using (StreamWriter writer = new StreamWriter(stream))
                {
                    writer.WriteLine("I can write to Isolated Storage");
                }
            }
        }

        // Detect whether or not this application has the requested permission
        bool IsPermissionGranted(CodeAccessPermission requestedPermission)
        {
            try
            {
                // Try and get this permission
                requestedPermission.Demand();
                return true;
            }
            catch
            {
                return false;
            }
        }

Imports System.IO
Imports System.IO.IsolatedStorage
Imports System.Security
Imports System.Security.Permissions
Imports System.Windows

Namespace SDKSample
    Public Class FileHandlingGraceful
        Public Sub Save()
            If IsPermissionGranted(New FileIOPermission(FileIOPermissionAccess.Write, "c:\newfile.txt")) Then
                ' Write to local disk
                Using stream As FileStream = File.Create("c:\newfile.txt")
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to local disk.")
                End Using
                End Using
            Else
                ' Persist application-scope property to 
                ' isolated storage
                Dim storage As IsolatedStorageFile = IsolatedStorageFile.GetUserStoreForApplication()
                Using stream As New IsolatedStorageFileStream("newfile.txt", FileMode.Create, storage)
                Using writer As New StreamWriter(stream)
                    writer.WriteLine("I can write to Isolated Storage")
                End Using
                End Using
            End If
        End Sub

        ' Detect whether or not this application has the requested permission
        Private Function IsPermissionGranted(ByVal requestedPermission As CodeAccessPermission) As Boolean
            Try
                ' Try and get this permission
                requestedPermission.Demand()
                Return True
            Catch
                Return False
            End Try
        End Function

    }
}

    End Class
End Namespace

在许多情况下，应能够找到部分信任替代方法。

在受控环境中（例如内联网），可以将自定义托管框架安装到所有客户端的全局程序集缓存（GAC）中。 这些库可以执行需要完全信任的代码，并使用仅允许部分信任 AllowPartiallyTrustedCallersAttribute 的应用程序引用（有关详细信息，请参阅 安全和WPF 安全策略 - 平台安全性）。

浏览器主机检测

需要根据每个权限进行检查时，使用 CAS 检查权限是一种合适的技术。 尽管这种技术依赖于捕捉异常作为正常处理的一部分，但通常不推荐这样做，并且可能会导致性能问题。 相反，如果你的 XAML 浏览器应用程序（XBAP）仅在 Internet 区域沙盒中运行，则可以使用此属性 BrowserInteropHelper.IsBrowserHosted ，该属性对于 XAML 浏览器应用程序（XBAP）返回 true。

管理权限

默认情况下，XBAP 以部分信任（默认 Internet 区域权限集）运行。 但是，根据应用程序的要求，可以从默认值更改权限集。 例如，如果从本地 Intranet 启动 XBAP，则可以利用增加的权限集，如下表所示。

表 3：LocalIntranet 和 Internet 权限

如果需要增加权限，则需要更改项目设置和 ClickOnce 应用程序清单。 有关详细信息，请参阅 WPF XAML 浏览器应用程序概述。 以下文档可能也很有帮助。

• Mage.exe（清单生成和编辑工具）。

• MageUI.exe（清单生成和编辑工具，图形客户端）。

• 保护 ClickOnce 应用程序。

如果 XBAP 需要完全信任，则可以使用相同的工具来增加请求的权限。 尽管 XBAP 仅在本地计算机、Intranet 或浏览器受信任或允许的站点中列出的 URL 上安装并启动时才会收到完全信任。 如果应用程序是从 Intranet 或受信任的站点安装的，用户将收到标准 ClickOnce 提示，通知他们提升的权限。 用户可以选择继续或取消安装。

或者，可以使用 ClickOnce 受信任的部署模型从任何安全区域进行完全信任部署。 有关详细信息，请参阅受信任的应用程序部署概述和安全性。

另请参阅

• 安全性
• WPF 安全策略 - 平台安全性
• WPF 安全策略 - 安全工程