Mass Assignment: Request Parameters Bound via Input Formatter

HTTP リクエスト パラメーターをモデル クラスにバインドするために使用されるフレームワーク バインダーは、[FromBody] アノテーションが使用されている場合は入力フォーマッタに依存します。

開発を容易にし、生産性を向上するため、最新のほとんどのフレームワークでは、オブジェクトが自動的にインスタンス化され、バインドするクラスの属性と一致する名前の HTTP リクエスト パラメーターが入力されます。オブジェクトの自動インスタンス化と作成は開発をスピードアップしますが、慎重に実装しないと、深刻な問題につながる可能性があります。バインドされたクラスまたはネストされたクラスの属性はすべて、HTTP リクエスト パラメーターに自動的にバインドされます。そのため、悪意のあるユーザーは、バインドされたクラスやネストされたクラスで (それが Web フォームや API コントラクトを介してクライアントに公開されていなくても) 任意の属性に値を割り当てることができます。

この場合、[FromBody] アノテーションがアクションの複合パラメーターに適用されると、パラメーターの型またはいずれかのフィールドに適用される [Bind] や [BindNever] などのその他のバインディング属性は事実上無視されるため、バインディング アノテーションを使用した緩和策は不可能になります。

例 1: ASP.NET Core MVC Web アプリケーションでは、[FromBody] アノテーションがアクションのパラメーターに適用されると、モデル バインダーは入力フォーマッタを使用してリクエストの本文で指定されたすべてのパラメーターを自動的にバインドしようとします。デフォルトでは、バインダーは JSON 入力フォーマッタを使用して、リクエストの本文から取得できるすべてのパラメーターをバインドしようとします。

[HttpPost]
public ActionResult Create([FromBody] Product p)
{
    return View(p.Name);
}

[FromBody] アノテーションが存在する場合は入力フォーマッタが使用されるため、後続の Product 型に適用される [Bind] や [BindNever] などのバインディング アノテーションは無視されることに注意してください。

public class Product
{
    ...
    public string Name { get; set; }
    public bool IsAdmin { get; set; }
    ...
}