Tengo un controlador que no está configurado para restringir qué atributos de la solicitud se pueden asignar al modelo, por lo que el método podría usarse para realizar ataques de overposting o underposting.
No quiero que en una aplicación crucial coloque parámetros que no quiero almacenar o modificar en BD.
En proyectos sin rest he visto que se resuelven con un método. @InitBinder y está configurado con "setDisallowedFields", "setAllowedFields" y "setRequiredFields", pero cuando uso un parámetro json @RequestBody que se asigna a un DTO no puedo hacer la restricción, además tengo varios controladores que reciben diferentes atributos del mismo DTO
DTO
public class ImagenAyudaDTO implements Serializable {
private static final long serialVersionUID = 1L;
private Integer idImagenAyuda;
private String urlImagen;
private String estado;
}
Controller
@PostMapping(path = "/getdto")
public ResponseEntity<ImagenAyudaDTO> getDto(
@RequestBody(required = true) @Valid ImagenAyudaDTO i) {
Logger.info("getDto request " + i.toString());
ImagenAyudaDTO im = new ImagenAyudaDTO();
im.setEstado("D");
im.setIdImagenAyuda(new Integer(2));
im.setUrlImagen("https://start.spring.io/");
Logger.info("getDto Response " + im.toString());
return new ResponseEntity<ImagenAyudaDTO>(im, HttpStatus.OK);
}
Binder
@InitBinder
public void filterGetdto(WebDataBinder dataBinder) {
final String[] DISALLOWED_FIELDS = new String[] { "estado" };
final String[] ALLOWED_FIELDS = new String[] { "idImagenAyuda", "urlImagen" };
final String[] REQUIRED_FIELDS = new String[] { "idImagenAyuda", "urlImagen" };
dataBinder.setDisallowedFields(DISALLOWED_FIELDS);
dataBinder.setAllowedFields(ALLOWED_FIELDS);
dataBinder.setRequiredFields(REQUIRED_FIELDS);
}
Request en Postman
Lo que espero es tener una validación de tipo de binder que me deshabilite de los campos del DTO que no se deben usar en la solicitud, teniendo en cuenta que en la misma clase puedo tener varios controladores que usan el mismo DTO