测试账号是越权验证的基础
越权类问题的验证依赖账号权限的差异对比：同级用户之间验证水平越权，不同角色之间验证垂直越权。如果项目只申请到一个账号，这类问题几乎无法确认。因此账号整理要在收集阶段就完成——明确来源、角色、权限范围与有效期，并整理成权限矩阵作为后续验证的素材。
基本信息
| 来源 | 客户提供，或在授权允许时由测试方自建 |
|---|---|
| 记录字段 | 账号标识、角色、权限范围、有效期、状态 |
| 最少要求 | 两个同级账号加一个管理账号 |
| 用途 | 水平与垂直越权验证的对照组 |
| 风险控制 | 禁止使用真实员工账号做高权限操作 |
典型使用场景
- 水平越权验证：A 与 B 两个同级账号交叉访问对方数据
- 垂直越权验证：普通账号尝试访问管理接口
- 权限边界核对：确认账号实际权限与授权描述是否一致
- 匿名接口核对：确认免登录接口是否应对外公开
- 复测验证：修复后按同一矩阵重新核对
账号矩阵示例
账号矩阵示例
# 账号 A：普通用户，仅可访问自有数据
# 账号 B：普通用户（另一人），用于与 A 交叉验证
# 账号 C：业务管理员，具备后台管理权限
# 用途一：A 与 B 交叉访问，验证同级水平越权
# 用途二：A 访问 C 的管理接口，验证垂直权限
# 用途三：不带登录态访问，验证匿名可达范围账号字段读法
| 字段 | 含义 | 填写要求 |
|---|---|---|
| 角色 | 账号所属的业务角色 | 与客户确认后如实填写，不推断 |
| 权限范围 | 可访问的模块与数据范围 | 按实际验证结果补充 |
| 有效期 | 账号可用时间窗口 | 到期前申请延期，避免中途失效 |
| 状态 | 是否仍可用 | 每日核对，失效及时反馈客户 |
越权验证至少需要两个同级账号：只有单账号时，越权类结论只能标注为「未验证」，不能凭猜测写进报告。
使用真实员工账号执行高权限操作，既可能造成数据混乱，也会让审计记录指向个人，风险由测试方承担。