リクエスト本文をそのまま実体に変換しない
リクエスト本文をそのまま実体に変換しない（中国語の原文）
更新用户资料的接口把请求 JSON 直接反序列化成 [实体类] 再保存。请列出攻击者能多传哪些字段（角色、状态、余额、创建时间、租户 ID）以及各自后果，再给出改法：定义只含可改字段的 [DTO 名]、服务端显式赋值、对不可改字段做比对告警。请顺便检查同一个项目里还有哪些接口用了同样的写法。
当サイトオリジナル
中国語の原文
使い方
白名单 DTO 比黑名单过滤字段可靠，新增字段时也不会意外放开。