业务逻辑漏洞的识别与防护

逻辑漏洞不依赖技术缺陷，而是业务流程被以非预期顺序或组合使用：优惠券重复使用、跳过支付步骤、负数购买、金额精度差异等；防护靠流程状态机与关键数值的服务端再校验。

典型案例模式

顺序颠倒：先发货后付款的步骤可被跳过
重复提交：接口无幂等控制（重复领取、重复退款）
数值边界：负数、超大数、精度差异
条件竞态：并发请求绕过限额

状态机：订单只能按 待支付→已支付→已发货 迁移
幂等：唯一键加状态前置检查
金额与库存以服务端计算为准，不信任客户端
流程节点埋审计日志

逻辑漏洞扫描器通常发现不了，需要基于业务做用例评审与人工测试。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌