Mass Assignment: Request Parameters Bound via Input Formatter

当使用 [FromBody] 注释时，用于将 HTTP 请求参数绑定到模型类的框架绑定器依赖于输入格式程序。

为简化开发过程并提高工作效率，大多数现代框架允许自动实例化对象并填充名称与要绑定的类属性匹配的 HTTP 请求参数。自动实例化和填充对象可加快开发速度，但若实施不慎，可能会引发严重问题。绑定类或嵌套类中的所有属性都将自动绑定到 HTTP 请求参数。因此，恶意用户将可以为绑定类或嵌套类中的任何属性赋值，即使未通过 Web 表单或 API 约定向客户端公开也是一样。

在这种情况下，当 [FromBody] 注释应用于操作的复杂参数，然后任何其他应用于参数类型或其任何字段的绑定属性（例如 [Bind] 或 [BindNever]）都会被有效忽略，这意味着使用绑定注释进行规避是不可能的。

示例 1：在 ASP.NET Core MVC Web 应用程序中，当 [FromBody] 注释应用于操作的参数时，模型绑定器会自动尝试使用输入格式程序绑定请求正文中指定的所有参数。默认情况下，绑定器使用 JSON 输入格式程序来尝试绑定来自请求正文的所有可能的参数：

[HttpPost]
public ActionResult Create([FromBody] Product p)
{
    return View(p.Name);
}

请注意，当存在 [FromBody] 注释时，任何应用于后接的 Product 类型的绑定注释（例如 [Bind] 或 [BindNever]）都会因为所使用的输入格式程序而被忽略。

public class Product
{
    ...
    public string Name { get; set; }
    public bool IsAdmin { get; set; }
    ...
}