search

adr-wisniewski / inz-sd

Automatically exported from code.google.com/p/inz-sd
0 stars 0 forks source link

Potencjala luka zabezpieczeń #13

Open GoogleCodeExporter opened 9 years ago

GoogleCodeExporter commented 9 years ago 
Zapisuje żeby nie zapomieć, a może kiedyś się przydać jeżeli projekt 
będzie
rozwijany.

Webdatabinder w połączeniu z @ModelAttribute poprostu na ślepo wypełnia
properties obiektu model. W szczególności jeżeli obiekt domenowy ma Id w
formie property (a w hibernate wszystkie będą miały) to można spreparować
takie żądanie, które tą właściwość ustawi.

Rozwiązanie:
Dodać do kontrolera metodę @InitBinder. Jeżeli wszystkie obiekty będą 
miały
Id można skonfigurować WebDataBindera w ustawieniach aplikacji w xml.

@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {
    dataBinder.setDisallowedFields("id");
}

Original issue reported on code.google.com by SirIz...@gmail.com on 29 May 2010 at 9:36