Web安全訪問控制及權限提升漏洞

一、什麼是訪問控制？ 簡單的來說就是應用程序首先會判斷用戶的身份（賬號密碼登錄），隨後確認後續請求是否由該用戶發出（會話管理），然後判斷是否允許用戶執行「所請求的操作」或訪問「所請求的資源（訪問控制）」 1、從用戶角度訪問控制模型分爲以下類型： 垂直訪問控制：控制不同權限等級的用戶訪問應用程序不同的功能；如「管理員」可以修改/刪除賬號，而普通賬號無法操作。 水平訪問控制：控制用戶只能訪問自己的資源

>>阅读原文<<