Mass Assignment: Request Parameters Bound via Input Formatter

用於將 HTTP 要求參數繫結到模型類別的架構繫結器，在使用 [FromBody] 註解時，會仰賴 Input Formatter。

為了簡化開發並提高生產力，大多數的現代架構都允許自動個體化物件，並填入名稱與要繫結之類別的屬性相符的 HTTP 要求參數。自動個體化並填入物件可以加速開發，但是如果實作不慎，就可能會導致嚴重問題。已繫結類別或巢狀類別中的任何屬性將會自動繫結至 HTTP 要求參數。因此，惡意的使用者便能夠將值指派給已繫結或巢狀類別中的任何屬性，即使這些類別並未透過網頁表單或 API 約定而暴露給用戶端。

在這種情況下，當 [FromBody] 註解套用於某個動作的複雜參數，接著將 [Bind] 或 [BindNever] 等任何其他繫結屬性套用於參數類型或其任何欄位將被有效忽略時，這意味著使用繫結註解進行緩解是不可能的。

範例 1：在 ASP.NET Core MVC Web 應用程式中，當 [FromBody] 註解套用於某個動作的參數時，模型繫結器會自動嘗試使用 Input Formatter 繫結要求本文中所指定的所有參數。繫結器預設使用 JSON Input Formatter 嘗試繫結要求本文中的所有可能參數：

[HttpPost]
public ActionResult Create([FromBody] Product p)
{
    return View(p.Name);
}

請注意，當存在 [FromBody] 註解時，對後續的 Product 類型套用的任何繫結註解 (例如 [Bind] 或 [BindNever]) 都會被忽略。

public class Product
{
    ...
    public string Name { get; set; }
    public bool IsAdmin { get; set; }
    ...
}