导出功能为什么单列
导出是敏感数据的集中出口：一次请求就能拿到成百上千条记录，越权的后果远大于单条查询。检查四个维度：导出权限是否与查看权限一致、导出范围是否按会话主体过滤、敏感字段是否脱敏、导出行为是否有频次限制与审计记录。异步导出还要额外检查生成文件的存放位置与下载凭据。
基本信息
| 检查对象 | 报表导出、批量下载、对账单、数据同步接口 |
|---|---|
| 检查维度 | 权限一致性、范围过滤、字段脱敏、频次限制、审计 |
| 风险特征 | 单次请求获取大量记录 |
| 加固方向 | 导出走审批、审计与频次限制，异步文件短期有效 |
典型使用场景
- 财务报表与对账单导出功能的权限核查
- 排查低权限账号能否导出全量数据
- 评估异步导出生成文件的访问控制
- 核查导出行为的审计与频次限制是否到位
- 与越权问题联动评估批量数据泄露影响
检查清单
检查清单
权限：导出权限与查看权限是否一致（防止只有查看权限却能导出全量）
范围：导出条件是否由服务端按当前账号的可见范围强制过滤
字段：证件号、手机号等敏感字段是否脱敏或按需授权
限制：单次条数上限、日导出次数限制与待导出队列机制
审计：谁在什么时间导出了多少条记录，是否留有可检索记录
异步文件：生成文件的存放路径、下载链接有效期与访问控制问题类型与判据
| 问题类型 | 判据 | 后果 |
|---|---|---|
| 权限不一致 | 无导出权限接口仍可调用 | 低权限批量获取数据 |
| 范围未过滤 | 传入更大范围参数即返回全量 | 跨组织数据泄露 |
| 字段未脱敏 | 导出文件含明文敏感字段 | 个人数据外泄 |
| 无频次限制 | 可反复导出全部数据 | 数据被搬空且无告警 |
| 异步文件可猜测 | 文件链接未签名或长期有效 | 链接外流后无法回收 |
验证导出能力时用总数字段或单页上限说明影响面即可，不要真的把全量数据导出到评估机：那本身就是一次数据泄露。
异步导出是常见盲区：任务生成的文件常被放在可枚举的目录或使用固定命名，需要与下载接口一起核查访问控制与有效期。