风险与修复对比（伪代码）
风险与修复对比（伪代码）
风险：User.update(req.body) # 全量字段绑定
安全：User.update({ name: req.body.name, email: req.body.email })
框架级白名单：
Rails：params.require(:user).permit(:name, :email)
Laravel：$request->only(['name','email'])
Spring：使用 DTO 接收并手动映射权限字段（role、is_admin）、状态字段、金额字段属于重点保护对象，任何入口都不应接受客户端直传。