| 对象 | 订单、工单、发票、文件、消息、用户资料 |
|---|---|
| 方法 | 账号 A 访问账号 B 的对象 ID |
| 原则 | 读操作优先验证；写操作需授权并记录回滚 |
验证步骤
验证步骤
1. 准备两个同权限测试账号 A/B，各建一个对象
2. 记录 A 的对象 ID 与访问接口
3. 用 B 的会话访问 A 的对象 ID
4. 区分：可读、可写、仅报错；记录接口与响应差异
5. 写操作验证后立即恢复数据修复视角：服务端按会话主体校验对象归属，而非信任客户端提交的 ID。
IDOR 越权验证（不安全的直接对象引用）
接口用可预测 ID 直接定位对象且不校验归属时形成越权；用两个测试账号交叉尝试对方对象 ID，观察是否可读/可改。
易错点
- 只看 ID 是否可预测，漏掉 UUID 但缺归属校验的情况
- 用真实用户数据做验证，触碰隐私红线
数据来源与参考
- OWASP WSTG WSTG-ATHZ-04
- OWASP API Security Top 10（API1 BOLA）