水平越权和垂直越权有什么区别

水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞，垂直越权是一种“基于URL的访问控制”设计缺陷引起的漏洞，本质上是所利用的漏洞不同获得的权限不同。垂直越权是一种“基于URL的访问控制”设计缺陷引起的漏洞，又叫做权限提升攻击，而水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞，两者在本质上完全不同。

两者具体如下：

1. 水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞。由于服务器端在接收到请求数据进行操作时没有判断数据的所属人/所属部门而导致的越权数据访问漏洞。假设用户x和用户y属于同一角色，拥有相同的权限等级，他们能获取自己的私有数据（数据x和数据y），但如果系统只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户x能访问到用户y的数据（数据y），那么用户x访问数据y的这种行为就叫做水平越权访问。

2. 垂直越权是一种“基于URL的访问控制”设计缺陷引起的漏洞，又叫做权限提升攻击。由于后台应用没有做权限控制，或仅仅在菜单、按钮上做了权限控制，导致恶意用户只要猜测其他管理页面的URL或者敏感的参数信息，就可以访问或控制其他角色拥有的数据或页面，达到权限提升的目的。