访问控制失效（Broken Access Control）

影响

• 未经授权的信息泄露
• 所有数据的修改或销毁
• 执行超出用户权限的业务功能

发生原因

• 违反了最小权限原则，通常称为默认拒绝，即访问应仅授予特定能力、角色或用户，但对任何人开放。
• 通过修改URL（参数篡改或强制浏览）、内部应用状态或 HTML 页面，或使用修改 API 请求的攻击工具来绕过访问控制检查。
• 允许通过提供他人的唯一标识符来查看或编辑其账户（不安全的直接对象引用）
• 一个可访问的 API，缺少 POST、PUT 和 DELETE 的访问控制。
• 特权的提升。比如不登录用户，或者登录时以管理员身份登录。
• 元数据作，例如重放或篡改 JSON Web 令牌（JWT）访问控制令牌、通过 cookie 或隐藏字段来提升权限，或滥用 JWT 失效。
• CORS 配置错误允许来自未授权或不受信任来源的 API 访问。
• 强制浏览（猜测 URL）到未认证用户的认证页面，或标准用户访问特权页面。