Mass Assignment / Broken Object Property-Level Authorization
Mass Assignment приема client object и автоматично го свързва към server model, включително полета, които user не трябва да контролира.
Какво е
Mass Assignment приема client object и автоматично го свързва към server model, включително полета, които user не трябва да контролира. В API контекст това се припокрива с Broken Object Property-Level Authorization.
Как работи
Клиентът добавя скрит field като role, owner, approval state или price. Ако framework-ът го bind-не автоматично, security-sensitive property може да бъде прочетено/променено неправомерно.
Как да се предотврати
Explicit allow-list на writable/readable fields по role и endpoint, отделни request DTO/schema модели и field-level authorization tests.
Най-ефективни защити
Подредени по приоритет — P0 е мястото, от което се започва.
Кой предлага защита в България
Услугите от директорията, които намаляват този риск — с броя компании, които ги предлагат.