Spring MVC Autobinding漏洞

危险函数：

1. "@SessionAttributes",

2. "@ModelAttribute"

@ModelAttribute注解

 

在Spring mvc中，注解@ModelAttribute是一个非常常用的注解，其功能主要在两方面：

• 运用在参数上，会将客户端传递过来的参数按名称注入到指定对象中，并且会将这个对象自动加入ModelMap中，便于View层使用；
• 运用在方法上，会在每一个@RequestMapping标注的方法前执行，如果有返回值，则自动将该返回值加入到ModelMap中；

@ModelAttribute注释一个方法的参数,从Form表单或URL参数中获取

@RequestMapping(value = "/home", method = RequestMethod.GET)
    public String home(@ModelAttribute User user, Model model) {
        if (showSecret){
            model.addAttribute("firstSecret", firstSecret);
        }
        return "home";
    }

 

 

参考链接：

浅析自动绑定漏洞