AI / 编程与调试

请求体别直接映射到实体

多传一个角色字段就能改自己的权限，这是最常见的提权

更新用户资料的接口把请求 JSON 直接反序列化成 [实体类] 再保存。请列出攻击者能多传哪些字段（角色、状态、余额、创建时间、租户 ID）以及各自后果，再给出改法：定义只含可改字段的 [DTO 名]、服务端显式赋值、对不可改字段做比对告警。请顺便检查同一个项目里还有哪些接口用了同样的写法。