@微光
2年前 提问
2个回答
越权漏洞怎么修复
房乐
2年前
官方采纳
越权漏洞修复方案如下：
基础安全架构，完善用户权限体系。要知道哪些数据对于哪些用户，哪些数据不应该由哪些用户操作；
鉴权，服务端对请求的数据和当前用户身份做校验；
不要直接使用对象的实名或关键字；
对于可控参数进行严格的检查与过滤。
在下炳尚
2年前
越权漏洞又叫越权访问漏洞，防范方法如下：
- 永远不要相信来自用户的输入，对于可控参数进行严格的检查与过滤
- 执行关键操作前必须验证用户身份
- 直接对象引用的加密资源id，防止攻击者枚举ID
- 前后端同时校验
- 调用功能前验证用户是否有权限调用相关功能