Toplu atama (ARCH3129)

Anahtar typescript.security.mass-assignment · Önem warning · Kategori security · CWE CWE-915

Tüm istek gövdesini doğrudan bir ORM create/update çağrısına geçirmek, saldırganların isAdmin gibi korunan alanları ayarlamasına olanak tanır. Yalnızca izin verilen alanları seçin.

Hatalı

app.post("/users", async (req, res) => {
  const user = await User.create(req.body);
  res.json(user);
});

Doğru

app.post("/users", async (req, res) => {
  const { name, email, password } = req.body;
  const user = await User.create({ name, email, password });
  res.json(user);
});

Düzeltme

ORM yazımlarına ham istek gövdesini geçirmeyin; alanları açık bir izin listesiyle seçin.