| 对象 | 订单、用户资料、消息、账单、文件 |
|---|---|
| 方法 | 账号 A/B 交叉访问（读优先） |
| 修复 | 服务端统一在数据访问层按主体过滤 |
验证步骤
验证步骤
1. 整理对象类端点清单与 ID 形态
2. 两个测试账号分别创建数据，交叉访问对方 ID
3. 记录：可读/可写/拒绝 三类结果
4. 写操作仅在授权下进行并及时恢复BOLA 覆盖所有对象类端点：列表、详情、更新、删除、批量子接口都要检查。
API 对象级授权检查（BOLA）
对象级授权缺失是接口类最常见问题：用两个账号交叉访问对象资源，确认服务端按会话校验归属。
易错点
- 只测数字 ID，漏掉 UUID 与嵌套对象
- 把“能查到公开数据”判为越权，未区分数据敏感度
数据来源与参考
- OWASP API Security Top 10（API1）
- OWASP WSTG WSTG-ATHZ-04