| 对象 | 管理端点、批量操作、配置类接口 |
|---|---|
| 方法 | 低权限会话重放管理端点请求 |
| 修复 | 接口级权限点与角色绑定，默认拒绝 |
验证步骤
验证步骤
1. 从管理侧收集端点清单（文档/流量/网关配置）
2. 用低权限账号逐个重放（先读后写）
3. 记录放行端点与返回内容特征
4. 与权限设计文档比对差异移动端与旧版客户端常保留管理功能入口：重点纳入清单。
API 功能级授权检查（BFLA）
功能级授权检查：低权限主体调用管理侧功能端点（用户管理、配置、批量操作）时服务端是否拒绝。
易错点
- 只测 Rest 风格端点，漏掉 GraphQL 与 RPC
- 忽略网关层与业务层权限校验不一致
数据来源与参考
- OWASP API Security Top 10（API5）
- OWASP WSTG WSTG-ATHZ-02