Toplu atama (ARCH340)

Anahtar dotnet.security.mass-assignment · Önem warning · Kategori security · CWE CWE-915

Bir eylem tüm isteği bir tipe bağlayıp aynı nesneyi Add, Update ya da Attach’e verdiğinde, bağlanabilir her özellik - IsAdmin, Balance, OwnerId - çağıranın gönderdiği değeri alır. Include listesi olmayan TryUpdateModelAsync(entity) aynı etkiyi yaratır.

Hatalı

[HttpPost]
public IActionResult Create(User user)
{
    _db.Users.Add(user);
    _db.SaveChanges();
    return Ok();
}

Doğru

[HttpPost]
public IActionResult Create(CreateUserRequest request)
{
    var user = new User { Name = request.Name, Email = request.Email };
    _db.Users.Add(user);
    _db.SaveChanges();
    return Ok();
}

Düzeltme

Bir istek DTO’su bağlayın ve yalnızca izin verilen özellikleri varlığa kopyalayın; ya da TryUpdateModelAsync’in özellik izin listesi alan aşırı yüklemesini kullanın.