en primer lugar, lo siento por mi mal inglés :)

Digamos que tengo un modelo y un controlador para mi API REST,

Modelo posterior.js:

 const postSchema = new mongoose.Schema({ author: { type: mongoose.Types.ObjectId, required: true }, title: String, content: String })

postController.js:

 const createPost = async (req, res, next) => { const newPost = await Post.create(req.body); res.status(200).json bla bla bla }

¿Los datos de req.body pueden ser (editados/atacados/inyectados) por el cliente?

me imagino asi:

1. desde la interfaz, el formulario solo tiene campos de título y descripción
2. el usuario completa el título y la descripción
3. y el usuario fuerza el ataque/inyecta la identificación del autor a otra identificación de usuario

Gracias <3