Toplu Atama (ARCH7129)

Anahtar php.security.mass-assignment · Önem warning · Kategori security · CWE CWE-915

Tüm istek yükünü doğrudan bir ORM modeline atamak (Eloquent toplu atama), saldırganın is_admin gibi korumalı alanlara ekstra parametre göndererek bunları set etmesine olanak tanır.

Hatalı

<?php
$user = User::create($request->all()); // is_admin=1 enjekte edilebilir

Doğru

<?php
$user = User::create($request->only(['name', 'email', 'password']));

Düzeltme

Yalnızca açıkça izin verilen alanları atayın (only/$fillable); modelde tüm hassas alanları $guarded ile koruyun.