场景
| 场景 | 预期结果 |
|---|---|
| 无凭证 | 401 |
| 无效/伪造凭证 | 401 |
| 有效凭证、权限不足 | 403 |
| 同权限访问他人对象 | 403 或 404（按设计约定） |
| 过期令牌 | 401（并覆盖时钟偏差场景） |
对象级越权覆盖「同类资源换 ID」与「跨租户换 ID」两类（参考 OWASP API Security Top 10 的 API1/API2）。
接口鉴权与授权测试
鉴权与授权测试矩阵：无凭证（401）、无效凭证（401）、有效但无权限（403）、对象级越权（换 ID 访问他人资源）、令牌过期、签名错误、最小权限核对。
易错点
- 只测无权限不测对象级越权（换 ID 拿到他人数据）
- 403 与 404 的预期未与产品确认，断言写死导致误报
数据来源与参考
- OWASP API Security Top 10（API1 越权、API2 认证缺陷）
- RFC 9110（401 与 403 语义）