失效的訪問控制（越權）

失效的訪問控制， 指未對通過身份驗證的用戶實施恰當的訪問控制。攻擊者可以利用這些缺陷訪問未經授權的功能或數據（ 直接的對象引用或限制的URL ） 。例如： 訪問其他用戶的帳戶、查看敏感文件、修改其他用戶的數據、更改訪問權限等。

• 表現形式：

水平權限安全攻擊
垂直權限提升攻擊

失效的訪問控制預防

1 · 使用非直接的對象引用——這防止了攻擊者直接訪問其井未授權的對象，通過一種mapping 或是其他的方法讓攻擊者無法直接訪問
2 · 檢查訪問——對每一個來自於不信任的源的直接對象引用都必須包含訪問控制檢查， 從而確信該用戶對該對象擁有訪問權。
3 、如果這個URL 不是公開的， 那么必須限制能夠訪問他的授權用戶
4 、完全禁止訪問未被授權的頁面類型（ 如配置文件、日志文件、源文件等）