Mass Assignment: Insecure Binder Configuration

用於將 HTTP 要求參數繫結至模型類別的架構繫結器，尚未明確配置為允許或禁止特定屬性。

為了簡化開發並提高生產力，大多數的現代架構都允許自動個體化物件，並填入名稱與要繫結之類別的屬性相符的 HTTP 要求參數。自動個體化並填入物件可以加速開發，但是如果實作不慎，就可能會導致嚴重問題。已繫結類別或巢狀類別中的任何屬性將會自動繫結至 HTTP 要求參數。因此，惡意的使用者便能夠將值指派給已繫結或巢狀類別中的任何屬性，即使這些類別並未透過網頁表單或 API 約定而暴露給用戶端。

範例 1：在沒有其他組態的情況下，以下 ASP.NET MVC 控制項方法會將 HTTP 要求參數繫結至 RegisterModel 或 Details 類別中的任何屬性：

public ActionResult Register(RegisterModel model)
{
    if (ModelState.IsValid)
    {
        try
        {
            return RedirectToAction("Index", "Home");
        }
        catch (MembershipCreateUserException e)
        {
            ModelState.AddModelError("", "");
        }
    }
    return View(model);
}

其中 RegisterModel 類別定義為：

public class RegisterModel
{
    [BindRequired]
    [Display(Name = "User name")]
    public string UserName { get; set; }

    [BindRequired]
    [DataType(DataType.Password)]
    [Display(Name = "Password")]
    public string Password { get; set; }

    [DataType(DataType.Password)]
    [Display(Name = "Confirm password")]
    public string ConfirmPassword { get; set; }

    public Details Details { get; set; }

    public RegisterModel()
    {
        Details = new Details();
    }
}

而 Details 類別定義為：

public class Details
{
    public bool IsAdmin { get; set; }
    ...
}

範例 2：在 ASP.NET MVC 或 Web API 應用程式中使用 TryUpdateModel() 或 UpdateModel() 時，模型繫結器會根據預設，自動嘗試繫結所有 HTTP 要求參數：

public ViewResult Register()
{
    var model = new RegisterModel();
    TryUpdateModel<RegisterModel>(model);
    return View("detail", model);
}

範例 3：在 ASP.NET 網頁表單應用程式中，使用 TryUpdateModel() 或 UpdateModel() 搭配 IValueProvider 介面時，模型繫結器會自動嘗試繫結所有 HTTP 要求參數。

Employee emp = new Employee();
TryUpdateModel(emp, new System.Web.ModelBinding.FormValueProvider(ModelBindingExecutionContext)); 
if (ModelState.IsValid)
{
    db.SaveChanges();
}

而 Employee 類別定義為：

 public class Employee
    {
        public Employee()
        {
            IsAdmin = false;
            IsManager = false;
        }
        public string Name { get; set; }
        public string Email { get; set; }
        public bool IsManager { get; set; }
        public bool IsAdmin { get; set; }
    }