Mass Assignment: Request Parameters Bound into Persisted Objects

如果允许使用请求参数自动填充数据库持久实体，攻击者将能够在关联实体中创建计划外的记录，或者更新实体对象中的计划外字段。

模型对象是数据库实体面向对象的表示。它们为加载、存储、更新和删除相关数据库实体提供了简便的方法。
例如，Hibernate、Microsoft .NET 实体框架和 LINQ 都是对象关系映射 (ORM) 框架，可以帮助您构建基于数据库的模型对象。

为了减轻开发人员的压力，许多 Web 框架都在努力提供相应的机制，即根据将请求参数名称与模型对象属性名称相匹配的方法将请求参数绑定到请求绑定对象（根据匹配的公共 getter 和 setter 方法）。

如果应用程序将 ORM 类作为请求绑定对象，请求参数就能够修改模型对象中的任何字段以及对象属性中的任何嵌入字段。

示例 1：Order、Customer 和 Profile 都是 Microsoft .NET 实体持久类。

public class Order {
	public string ordered { get; set; }
	public List<LineItem> LineItems { get; set; }
	pubilc virtual Customer Customer { get; set; }
...
}
public class Customer {
	public int CustomerId { get; set; }
	...
	public virtual Profile Profile { get; set; }
...
}
public class Profile {
	public int profileId { get; set; }
	public string username { get; set; }
	public string password { get; set; }
	...
}

OrderController 是处理该请求的 ASP.NET MVC 控制器类：

public class OrderController : Controller{
	StoreEntities db = new StoreEntities();
...

	public String updateOrder(Order order) {
		...
		db.Orders.Add(order);
		db.SaveChanges();
	}
}

由于模型实体类会自动绑定到该请求，因此攻击者可以利用这一漏洞，通过在该请求中添加下列请求参数来更新其他用户的密码："http://www.yourcorp.com/webApp/updateOrder?order.customer.profile.profileId=1234&order.customer.profile.password=urpowned"