4、Web应用程序中的安全向量 -- over-posting（重复提交）

　　模型绑定是ASP.NET MVC提供的强大功能，可遵照命名约定将输入元素映射到模型属性，从而极大地简化了处理用户输入的过程，然而，这也成为了攻击的另一种没接，给攻击者提供了一个填充模型属性的机会，右下时候填充的这些属性甚至都没有在输入表单中。

使用 [Bing] 特性防御重复提交攻击

　　1、可以使用Bing白名单来指定模型绑定的字段，比如 [Bing(Include="Name,Comment")]

　　也可以使用黑名单来排除禁止绑定的字段，比如 [Bind(Exclude="ID,DateTime")]

　　一般情况下，白名单比黑名单更安全一些。

　　[Bind(Include="Name,Comment")]

　　public class Review{

　　　　public string ID{get;set;}

　　　　public string Name{get;set;}

　　　　public string Comment{get;set;}

　　}

　　2、另一种方法是使用UpdateModel或者TryUpdateModel方法来接收一个绑定列表，例如：

　　UpdateModel(review,"Review",new string[]{"Name","Comment"})

　　3、避免直接绑定到数据模型也是有效防御重复提交攻击的一种方式。通过一个视图模型，只缓存允许用户设置的属性来阻止攻击。