| 对象 | 管理后台接口、配置修改、用户管理、审批操作 |
|---|---|
| 方法 | 低权限会话直连高权限接口 |
| 判据 | 服务端返回 403/401 才算防护有效 |
验证步骤
验证步骤
1. 用管理员会话记录高权限接口的请求（含路径与参数结构）
2. 换成低权限账号会话重放同一请求
3. 观察：成功 / 权限错误 / 重定向登录页
4. 对角色继承与多角色场景分别验证修复视角：鉴权在服务端按接口粒度执行，权限点与角色解耦并集中管理。
垂直越权检查（低权限访问高权限）
低权限角色直接访问管理接口/页面时验证服务端是否独立鉴权；前端隐藏菜单不构成防护。
易错点
- 用管理员 Token 在浏览器里测试，得到的现象不可信
- 忽略“多角色叠加”与“权限回收后令牌未失效”场景
数据来源与参考
- OWASP WSTG WSTG-ATHZ-02
- OWASP API Security Top 10（API5 BFLA）