Mass Assignment: Request Parameters Bound via Input Formatter

O associador de estrutura usado para vincular os parâmetros de solicitação HTTP à classe de modelo depende de Formatadores de Entrada quando a anotação [FromBody] é usada.

Para facilitar o desenvolvimento e aumentar a produtividade, a maioria das estruturas modernas permite que um objeto seja automaticamente instanciado e preenchido com os parâmetros de solicitação HTTP cujos nomes correspondem a um atributo da classe a ser vinculada. A instanciação e o preenchimento automáticos de objetos aceleram o desenvolvimento, mas podem levar a sérios problemas se implementados sem cuidado. Qualquer atributo nas classes vinculadas, ou classes aninhadas, será automaticamente vinculado aos parâmetros de solicitação HTTP. Portanto, usuários mal-intencionados poderão atribuir um valor a qualquer atributo em classes vinculadas ou aninhadas, mesmo que não sejam expostos ao cliente por meio de formulários da web ou contratos de API.

Nesse caso, quando a anotação [FromBody] é aplicada a um parâmetro complexo de uma ação, então quaisquer outros atributos de associação, como [Bind] ou [BindNever] aplicados ao tipo do parâmetro ou qualquer um de seus campos são ignorados efetivamente, o que significa que a mitigação usando anotações de associação é impossível.

Exemplo 1: Em um aplicativo Web ASP.NET Core MVC, quando a anotação [FromBody] é aplicada a um parâmetro de uma ação, o associador de modelo tenta vincular automaticamente todos os parâmetros especificados no corpo da solicitação usando um Formatador de Entrada. Por padrão, o associador usa o Formatador de Entrada JSON para tentar vincular todos os parâmetros possíveis que vêm do corpo da solicitação:

[HttpPost]
public ActionResult Create([FromBody] Product p)
{
    return View(p.Name);
}

Observe que quaisquer anotações de associação, como[Bind] ou[BindNever], aplicadas ao tipo Product a seguir são ignorados devido ao uso de Formatadores de Entrada quando a anotação [FromBody] está presente.

public class Product
{
    ...
    public string Name { get; set; }
    public bool IsAdmin { get; set; }
    ...
}