3

Tengo un controlador que no está configurado para restringir qué atributos de la solicitud se pueden asignar al modelo, por lo que el método podría usarse para realizar ataques de overposting o underposting.

No quiero que en una aplicación crucial coloque parámetros que no quiero almacenar o modificar en BD.

En proyectos sin rest he visto que se resuelven con un método. @InitBinder y está configurado con "setDisallowedFields", "setAllowedFields" y "setRequiredFields", pero cuando uso un parámetro json @RequestBody que se asigna a un DTO no puedo hacer la restricción, además tengo varios controladores que reciben diferentes atributos del mismo DTO

DTO

    public class ImagenAyudaDTO implements Serializable {
         private static final long serialVersionUID = 1L;
         private Integer idImagenAyuda;
         private String urlImagen;
         private String estado;
    }

Controller

    @PostMapping(path = "/getdto")
    public ResponseEntity<ImagenAyudaDTO> getDto(
            @RequestBody(required = true) @Valid ImagenAyudaDTO i) {
        Logger.info("getDto request " + i.toString());
        ImagenAyudaDTO im = new ImagenAyudaDTO();
        im.setEstado("D");
        im.setIdImagenAyuda(new Integer(2));
        im.setUrlImagen("https://start.spring.io/");
        Logger.info("getDto Response " + im.toString());
        return new ResponseEntity<ImagenAyudaDTO>(im, HttpStatus.OK);
    }

Binder

    @InitBinder
    public void filterGetdto(WebDataBinder dataBinder) {
        final String[] DISALLOWED_FIELDS = new String[] { "estado" };
        final String[] ALLOWED_FIELDS = new String[] { "idImagenAyuda", "urlImagen" };
        final String[] REQUIRED_FIELDS = new String[] { "idImagenAyuda", "urlImagen" };
        dataBinder.setDisallowedFields(DISALLOWED_FIELDS);
        dataBinder.setAllowedFields(ALLOWED_FIELDS);
        dataBinder.setRequiredFields(REQUIRED_FIELDS);
    }

Request en Postman Request en Postman

Lo que espero es tener una validación de tipo de binder que me deshabilite de los campos del DTO que no se deben usar en la solicitud, teniendo en cuenta que en la misma clase puedo tener varios controladores que usan el mismo DTO

3
  • Creo que en el código que compartes no se aprecia el problema que explicas. Trata de incluir un ejemplo donde te ocurra para que podamos darte ideas. Saludos. Commented el 3 jul. 2019 a las 23:01
  • ok, el problema es que por ejemplo si me pasan como parametro el id de la entidad mas adelante podria ser persistido, o puede ser otro atributo que deba ser calculado o seteado desde la API, no por el usuario o atacante, por eso el uso de setDisallowedFields, pero no funciona sobre RequestBody, o no se si a cambio de RequestBody pueda usar otra anotacion que me permita recibir la solicitud en formato JSON como la que envio desde POSTMAN y funcione el InitBinder
    – daniel
    Commented el 4 jul. 2019 a las 11:43
  • 1
    No seria mas sencillo tener varios objetos de entrada, y dependiendo del controlador transformarlos en el DTO que necesitas? Tiene la ventaja que con solo ver el codigo del controlador, sabras que campos son necesarios y validos.
    – cavpollo
    Commented el 4 jul. 2019 a las 15:59

1 respuesta 1

0

googleando algo, encontre una opcion https://www.baeldung.com/javax-validation-groups, groups de javax validation, funciona para cuando necesitamos aplicar restricciones en un determinado conjunto de campos del bean, y luego queremos aplicar restricciones en otro conjunto de campos del mismo bean.

todas las javax validation constraints tienen un atributo groups, en este puede ir el nombre del grupo al que pertenece la restricción, especificando el nombre de la interfaz de grupo.

  1. crear las interfaces: Estas interfaces serán los nombres de los grupos de restricción( InformacionBasica, InformacionAvanzada ).
  2. luego usar las interfaces en el bean.


    @Email(groups = InformacionBasica.class)
    private String email;
    @NotBlank(groups = InformacionBasica.class)
    private String telefono;

    @NotBlank(groups = {InformacionBasica.class, InformacionAvanzada.class})
    private String captcha;

    @NotBlank(groups = InformacionAvanzada.class)
    private String direccion;

y por ejemplo desde un servicio rest springboot:



    import javax.validation.Valid;
    import org.springframework.validation.annotation.Validated;

    @Validated
    public class PersonaRest{
    @PostMapping("/algoBasica")
            @Validated(InformacionBasica.class)
            public ResponseEntity hacerAlgo(@Valid @RequestBody PersonaTO p) {
                try {
                    personaServicio.hacerAlgo();
                    return new ResponseEntity(Boolean.TRUE, HttpStatus.OK);
                } catch (EmptyResultDataAccessException e) {
                    return new ResponseEntity(
                            "Informacion basica necesaria",
                            HttpStatus.BAD_REQUEST);
                }

            }

    @PostMapping("/algoAvanzada")
            @Validated(InformacionAvanzada.class)
            public ResponseEntity hacerAlgo(@Valid @RequestBody PersonaTO p) {
                try {
                    personaServicio.hacerAlgo();
                    return new ResponseEntity(Boolean.TRUE, HttpStatus.OK);
                } catch (EmptyResultDataAccessException e) {
                    return new ResponseEntity(
                            "Informacion avanzada necesaria",
                            HttpStatus.BAD_REQUEST);
                }

            }
    }

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.