我见过最离谱的授权未授权访问，不是访问数据库裸奔，而是漏洞一家医院的体检系统。只要在浏览器地址栏敲对路径，授权就能看到所有患者的访问胸片和化验单。没有登录框，漏洞没有验证码，授权连个密码提示都没有。访问那感觉就像你路过银行金库，漏洞发现门是授权虚掩的，里面堆着现金，访问而保安在打瞌睡。漏洞

所谓web未授权访问，授权说白了就是访问开发者忘了在某个接口前加一道“请出示证件”的检查。服务器默认你是漏洞好人，结果你绕过前端页面，直接对着后台API喊话，它就老老实实把数据吐出来。这事儿的讽刺之处在于，很多系统把登录页做得固若金汤，却把内部接口晾在阳光下。

我认识一个做安全测试的朋友，他有个习惯——拿到目标网站后，先翻JS文件。为什么？因为前端代码里经常藏着后端接口的路径，有些甚至带参数。他给我演示过一次：某政务网站的子域名下，一个名为“export”的接口，不加任何token就能导出全量用户手机号。他当时手都在抖，赶紧截图提交报告，生怕晚一步就被别人薅走。

这类漏洞的根源，往往不是技术多高深，而是开发流程里的疏忽。程序员写完接口，自己测试时用postman直接调，调通了就部署上线，忘了加鉴权中间件。也可能是因为接口是给内部系统用的，想着没人知道路径，就干脆不设防。可互联网上没秘密，扫描器满天飞，字典里堆满了常见路径——比如/admin、/api/user/list、/actuator/env。你只要暴露一个，就等于给黑客递了把钥匙。

还有个典型场景是Spring Boot的Actuator。很多开发者图方便，把监控端点全开，结果/heapdump直接把内存里的敏感信息dump下来。有人从heapdump里挖出过数据库密码、OSS密钥，甚至支付回调的签名私钥。这已经不是“看看数据”的级别了，直接能拿服务器权限。

修复办法其实不复杂。给每个接口加上身份验证，用Spring Security或者Shiro做统一拦截，再配个白名单路径。但难点在于存量系统——那些跑了五六年的老项目，接口散落各处，有的在网关后面，有的直连数据库，梳理起来像在拆毛线团。所以很多团队选择打补丁式修复：发现一个堵一个，却永远不知道还有多少个洞没被发现。

说句实在话，未授权访问比SQL注入更让人后背发凉。SQL注入好歹需要构造语句，考验一点技术，未授权访问纯粹是“开门揖盗”。你不需要懂什么原理，会复制粘贴URL就行。这就像你家门锁坏了，小偷不用撬锁，拧一下门把手就进来了。而且这种漏洞往往藏得深，等业务方发现时，数据可能已经被拖走了好几个月，日志里连个脚印都没留下。

这几年云原生火起来，容器、K8s、微服务拆得越来越细，接口数量翻了几倍，攻击面也跟着膨胀。我见过一个内部工具平台，把Redis端口暴露到公网，没设密码，结果被挖矿程序扫到，CPU直接飙到100%。运维查了半天才发现，Redis里被人写了定时任务，专门拉取挖矿脚本。这种案例一抓一大把，但每次出事，大家还是习惯先甩锅给“第三方组件漏洞”，很少有人愿意承认就是没配好访问控制。

写这篇文章不是想吓唬你，而是提醒一个事实：网络安全里最贵的不是防火墙，不是WAF，而是“默认信任”这个习惯。每次你省掉一个校验，就是在赌对面是好人。可互联网上，赌徒永远赢不了庄家。