认证绕过与越权：从登录缺陷到数据拖取

## 原理分类 1. **认证缺陷**：弱口令、验证码可绕、密码重置逻辑错误、JWT 未校验签名/`alg=none`。 2. **会话缺陷**：会话固定、预测 Session ID、退出未失效。 3. **授权缺陷（越权）**：只验证「已登录」，不验证「能否操作该对象」。 ## 典型入侵过程（越权） 1. 用账号 A 抓取「查看订单/文件」请求，记下资源 ID。 2. 换账号 B 的 Cookie，改 ID 为 A 的资源。 3. 若仍 200 返回数据 → 水平越权成立。 4. 批量遍历 ID → 大规模数据泄漏。 5. 垂直越权：普通用户访问管理接口。 ## 防御 - 每个 API：**认证 + 对象级授权**（owner/tenant 校验）。 - 密码重置：令牌一次性、绑定用户、短时有效。 - JWT：强制算法、验签、短过期、吊销策略。 - 管理接口独立鉴权与网络限制。 ## 测试建议 双账号互换 ID；未登录访问需登录接口；普通号访问 `/admin`。