页面不给普通用户显示编辑按钮，只是界面选择。真正的授权应在服务端核对当前身份能否操作目标对象，而不能仅凭请求中带了一个记录编号。
身份通过后还要判断动作
登录成功说明用户是谁，授权则回答他能否查看或修改某条记录。文章属于A用户，不代表B用户知道文章编号后也能编辑。检查时应同时考虑角色、对象归属和请求动作，而不只看接口是否需要登录。
使用自己的测试对象验证
在隔离环境创建两个低权限测试账户和各自的虚构记录，按预定规则检查允许与拒绝的情况。不要针对他人数据猜编号。被拒绝时还应确认数据没有改变，而不是仅看前端弹出了提示。
把规则集中表达
将预期权限写成清楚的表格，覆盖读取、修改、删除等动作，再核对所有入口。新增接口或批量操作时容易遗漏同样的规则。默认拒绝与逐请求检查可以减少遗漏，但仍需要结合应用的真实业务设计验证。
资料与继续学习
OWASP：授权检查。资料查阅日期：2026年9月26日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年9月26日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
