Какие уязвимости массового присвоения существуют при работе с моделями Eloquent?

Уязвимость массового присвоения в моделях Eloquent возникает, когда пользователь передаёт неожиданные параметры через запрос HTTP, и эти параметры изменяют поля в базе данных, которые не должны изменяться. webman.workerman.net laravel.su

Пример: злоумышленник может передать параметр is_admin через HTTP-запрос, затем передать его в метод create, что позволит пользователю повысить себя до администратора. webman.workerman.net laravel.su

Чтобы предотвратить такие ситуации, в Eloquent есть механизмы контроля массового присвоения: www.gyata.ai

• Свойство $fillable. webman.workerman.net www.gyata.ai Позволяет определить, какие атрибуты модели могут быть массово присвоены. webman.workerman.net www.gyata.ai Можно рассматривать его как «белый список». webman.workerman.net
• Свойство $guarded. webman.workerman.net www.gyata.ai Содержит массив свойств, которые не допускают массового присвоения. webman.workerman.net Можно использовать его как «чёрный список». webman.workerman.net

Важно учитывать, что можно применять только одно из свойств, но не оба одновременно. webman.workerman.net Также рекомендуется обновлять свойства $guarded или $fillable при добавлении новых полей в модель, чтобы избежать непредвиденных проблем с безопасностью. www.gyata.ai