| 场景 | 注册、资料更新、订单创建等接收 JSON/表单的接口 |
|---|---|
| 方法 | 在请求体中追加敏感字段名，观察是否生效 |
| 原则 | 用测试账号验证；改动立即恢复 |
检查步骤
检查步骤
1. 抓取正常更新请求的字段结构
2. 追加候选敏感字段（角色标识、状态、额度类字段名）
3. 观察接口响应与再次查询结果是否体现改动
4. 记录接口与字段；恢复测试数据修复视角：服务端显式白名单绑定（DTO），禁止“对象整体映射”。
批量赋值（Mass Assignment）检查
接口把请求体字段直接映射到对象属性时可批量赋值出敏感字段（如角色、余额、审核状态）；检查多余字段是否被接纳。
易错点
- 用生产账号试探角色字段，影响真实权限
- 只测更新接口，漏掉创建接口
数据来源与参考
- OWASP API Security Top 10（API3）
- OWASP Cheat Sheet：Mass Assignment