Mass Assignment: Insecure Binder Configuration

用于将 HTTP 请求参数绑定到模型类的框架绑定器未显式配置为允许或禁止特定属性。

为便于开发和提高生产率，现代框架允许自动实例化一个对象，并使用名称与要绑定的类的属性相匹配的 HTTP 请求参数填充该对象。对象的自动实例化和填充加快了开发速度，但如果不谨慎实施，会导致严重的问题。绑定类或嵌套类中的任何属性都将自动绑定到 HTTP 请求参数。因此，恶意用户能够将值分配给绑定类或嵌套类中的任意属性，即使这些属性未通过 Web 表单或 API 合约暴露给客户端也是如此。

示例 1：无需进行额外配置，以下 ASP.NET MVC 控制器方法便会将 HTTP 请求参数绑定到 RegisterModel 或 Details 类中的任何属性：

public ActionResult Register(RegisterModel model)
{
    if (ModelState.IsValid)
    {
        try
        {
            return RedirectToAction("Index", "Home");
        }
        catch (MembershipCreateUserException e)
        {
            ModelState.AddModelError("", "");
        }
    }
    return View(model);
}

其中，RegisterModel 类定义为：

public class RegisterModel
{
    [BindRequired]
    [Display(Name = "User name")]
    public string UserName { get; set; }

    [BindRequired]
    [DataType(DataType.Password)]
    [Display(Name = "Password")]
    public string Password { get; set; }

    [DataType(DataType.Password)]
    [Display(Name = "Confirm password")]
    public string ConfirmPassword { get; set; }

    public Details Details { get; set; }

    public RegisterModel()
    {
        Details = new Details();
    }
}

Details 类定义为：

public class Details
{
    public bool IsAdmin { get; set; }
    ...
}

示例 2：在 ASP.NET MVC、Web API 应用程序中使用 TryUpdateModel() 或 UpdateModel() 时，默认情况下，模型绑定器将自动尝试绑定所有 HTTP 请求参数：

public ViewResult Register()
{
    var model = new RegisterModel();
    TryUpdateModel<RegisterModel>(model);
    return View("detail", model);
}

示例 3：在 ASP.NET Web API 应用程序中，默认情况下，模型绑定器将使用已配置的 JSON 或 XML 序列化程序/反序列化程序自动尝试绑定所有 HTTP 请求参数。默认情况下，该绑定器将尝试绑定 HTTP 参数或正文的所有可能属性。

public class ProductsController : ApiController
{
  public string SaveProduct([FromBody] Product p)
  {
      return p.Name;
  }
  ...
}

示例 4：在 ASP.NET Web 表单应用程序中，当通过 IValueProvider 界面使用 TryUpdateModel() 或 UpdateModel() 时，模型绑定器将自动尝试绑定所有的 HTTP 请求参数。

Employee emp = new Employee();
TryUpdateModel(emp, new System.Web.ModelBinding.FormValueProvider(ModelBindingExecutionContext)); 
if (ModelState.IsValid)
{
    db.SaveChanges();
}

Employee 类定义为：

 public class Employee
    {
        public Employee()
        {
            IsAdmin = false;
            IsManager = false;
        }
        public string Name { get; set; }
        public string Email { get; set; }
        public bool IsManager { get; set; }
        public bool IsAdmin { get; set; }
    }