الإسناد الجماعي غير المقيَّد Mass Assignment

الصياغة

Model.update(req.body)   // ❌ يربط كل حقول جسم الطلب دون تمييز

📄 مثال

// ✅ آمن: استخرج الحقول المسموحة صراحة (allowlist) قبل التحديث
function pickAllowedFields(body) {
  const { displayName, bio } = body;   // فقط ما يُسمح للمستخدم بتعديله
  return { displayName, bio };
}

await User.update(user.id, pickAllowedFields(req.body));
// role وisAdmin غير موجودين هنا مهما أرسل الطلب — غير قابلين للتعديل من هذا المسار

أهم النقاط

💡 نصائح عملية

• لا تعتمد على أن الواجهة الأمامية لا ترسل حقولًا حسّاسة — أي طلب HTTP يمكن تعديله يدويًّا بغضّ النظر عمّا ترسله الواجهة فعليًّا

⚠️ أخطاء شائعة

• استخدام قائمة سوداء (استثناء حقول معيّنة) بدل قائمة بيضاء — أي حقل جديد يُضاف للنموذج لاحقًا يصبح قابلًا للتعديل تلقائيًّا ما لم يُستثنَ يدويًّا

خصائص ذات صلة