# 批量分配反模式 **严重性：** 高 ## 总结当框架自动将 HTTP 参数绑定到对象属性而不进行过滤时，会发生批量分配（自动绑定）。攻击者注入未经授权的属性（“isAdmin：true”）来升级权限或修改受保护的字段。该漏洞可通过参数注入实现完全访问控制绕过。 ## 反模式切勿使用用户提供的数据字典来更新模型而不过滤允许的属性。使用明确的许可名单。 ### 错误代码示例 # 漏洞：传入请求数据直接用于更新用户模型来自烧瓶导入请求从数据库导入用户、会话 @app.route("/api/users/me", 方法=["POST"]) def update_profile(): # 用户已经通过身份验证用户 = get_current_user() # 攻击者制作 JSON 正文：＃{ # "电子邮件": "new.email@example.com", #“is_admin”：true # } request_data = request.get_json() # ORM 允许从字典更新对象 # 如果用户模型有 `is_admin` 属性，它会在此处更新对于 request_data.items() 中的键、值： setattr(user, key, value) # 直接、不安全的赋值会话.commit() return {"message": "个人资料已更新。"} # 攻击者刚刚成为管理员 ### 好的代码示例 # 安全：使用 DTO 或显式白名单来控制可更新字段来自烧瓶导入请求从数据库导入用户、会话 # 选项 1：字段白名单 ALLOWED_UPDATE_FIELDS = {"电子邮件", "名字", "姓氏"} @app.route("/api/users/me", 方法=["POST"]) def update_profile_allowlist(): 用户 = get_current_user() request_data = request.get_json() 对于 request_data.items() 中的键、值： # 仅在明确的白名单中时更新如果键入 ALLOWED_UPDATE_FIELDS： setattr(用户、键、值) 会话.commit() return {"message": "个人资料已更新。"} # 选项 2（更好）：使用 DTO 或 schema 进行验证从 pydantic 导入 BaseModel，EmailStr 类 UserUpdateDTO(BaseModel): # 仅定义可提交字段 # 不包括 `is_admin`，用户无法设置电子邮件：EmailStr 名字：str 姓氏：str @app.route("/api/users/me/dto", 方法=["POST"]) def update_profile_dto(): 用户 = get_current_user() 尝试： # 如果存在额外字段，Pydantic 会引发验证错误 update_data = UserUpdateDTO(**request.get_json()) 除了 ValidationError 为 e：返回 {“错误”：str(e)}，400 用户.电子邮件 = update_data.电子邮件 user.first_name = update_data.first_name user.last_name = update_data.last_name 会话.commit() return {"message": "个人资料已更新。"} ## 检测 * **从请求数据中查找直接模型更新：** Grep 进行不安全绑定： * `rg 'setattr.*request\.|\.update\(request\.' --type py` * `rg 'Object\.assign.*req\.body|\.save\(req\.body' --type js` * `rg 'BeanUtils\.copyProperties|ModelMapper' --type java` * **识别阻止列表方法（不安全）：** 查找关键删除模式： * `rg 'del.*\[.*(admin|role|permission)|\.pop\(.*(admin|role)' --type py` * `rg '删除。*\.(isAdmin|角色)|省略\(' --type js` * 黑名单不安全 - 而是搜索白名单模式 * **批量分配测试：** 发送恶意参数： * `curl -X POST /api/users -d '{"email":"test@example.com","isAdmin":true}'` * 尝试：`isAdmin`、`role`、`permissions`、`accountBalance`、`verified` * **检查 DTO 使用情况：** 验证正确的输入验证： * `rg 'class.*DTO|@Valid|validator\.validate' --type py --type java` ## 预防 * **使用允许列表：** 切勿使用阻止列表。始终使用用户可设置属性的白名单 * **使用 DTO 或模式：** 严格定义预期的请求正文。最稳健的解决方案 * **显式设置敏感属性：** 外部批量分配（例如，`new_user.is_admin = False`） * **了解框架功能：** 某些框架包括批量分配保护。正确使用它们 ## 相关安全模式和反模式 * [过多数据暴露反模式]()：质量分配的逆 - 返回太多数据而不是接受太多数据 * [缺少身份验证反模式]()：未经身份验证的批量分配允许任何人修改对象 ## 参考文献 * [OWASP Top 10 A01:2025 - 损坏的访问控制]() * [OWASP GenAI LLM06:2025 - 过度代理]() * [OWASP API 安全 API3:2023 - 损坏的对象属性级别授权]() * [OWASP 批量作业]() * [CWE-915：批量分配]() * [CAPEC-114：身份验证滥用]() * [PortSwigger：Api 测试]() * 来源：[sec-context]()

批量分配反模式

包含技能