细粒度权限控制越权

越权访问的本质不是攻击者手段多高明，而是权限边界划得太粗，让本该被挡在门外的请求摸到了门把手，这个问题在近年来的安全审计中反复出现，行业共识认为，超过较大比例的Web应用安全事件与越权访问相关，而根因往往不是加密被破解或漏洞被零日利用，而是开发者用“登录即可访问”的粗粒度逻辑替代了“谁允许访问什么”的精细控制……