水平權限漏洞的修復方案

水平權限漏洞通常出如今一個用戶對象關聯多個其餘對象（訂單、地址等）、而且要實現對關聯對象的CRUD的時候。開發容易習慣性的在生成CRUD表單（或AJAX請求）的時候根據認證過的用戶身份來找出其有權限的被操做對象id，提供入口，而後讓用戶提交請求，並根據這個id來操做相關對象。在處理CRUD請求時，每每默認只有有權限的用戶才能獲得入口，進而才能操做相關對象，所以就再也不校驗權限了。可悲劇的是大多數對

>>阅读原文<<