请求参数自动填充数据库实体-缺陷编码

类型: 安全缺陷

持久性框架（如 Hibernate或JPA）通常会自动更新数据库实体，当系统允许请求参数可以直接自动填充数据库持久实体时，攻击者将能够通过提供附加的请求参数向数据库中注入非预期的值。

public class Order {
    String orderId;
    List goods;
    User User;
    ...
}
public class User {
    String userId;
    String username;
    String password;
    ...
}
OrderController是处理该请求的Spring控制器类：
@Controller
public class OrderController {
    ...
    @RequestMapping("/updateOrder")
    public String updateOrder(Order order) {
        ...
        session.save(order);
    }
}

当系统允许请求自动绑定到数据库实体时，攻击者可以通过在该请求中添加如下请求参数来更新其他用户的密码：https://www.shopwebsite.com/myOrder/updateOrder?order.user.userId=1234&order.user.password=newpassword