Toplu atama (ARCH8129)

Anahtar kotlin.security.mass-assignment · Önem warning · Kategori security · CWE CWE-915

Doğrudan kalıcı entity’ye bağlanıp kaydedilen @RequestBody’yi işaretler - korunanlar dahil her sütun istekten yazılabilir.

Hatalı

@PostMapping fun create(@RequestBody user: User) = repo.save(user)

Doğru

@PostMapping fun create(@RequestBody dto: CreateUserDto) = repo.save(dto.toEntity())

Düzeltme

İstekleri izin verilen alanlı bir DTO’ya bağlayın ve açıkça eşleyin.