Подмена параметров

Подмена параметров нацелена на данные, которые клиент шлёт, но сервер не должен им доверять: строки запроса, тело POST, скрытые поля, cookie, claims JWT и заголовки HTTP. Типичные злоупотребления: изменение поля цены при оформлении заказа, подмена userId в endpoint профиля, смена параметра role, обход клиентской валидации. Корень — сервер считает клиентские данные авторитетными вместо того, чтобы пересчитывать их или сверять с авторитетным состоянием. Защита: серверная валидация и авторизация каждого чувствительного значения, цены/итоги формируются на сервере или подписаны криптографически, allow-list схемы ввода, WAF как эшелон защиты.