接口未授权访问漏洞

某天深夜，接口一家电商平台的未授问漏订单接口突然被疯狂调用，几分钟内生成了上千笔虚假订单。权访运维查日志发现，接口请求来自同一个IP，未授问漏参数里连用户ID都没带——接口压根没校验调用者身份。权访这不是接口黑客炫技，而是未授问漏接口未授权访问漏洞最典型的打开方式：本该需要登录才能用的功能，裸奔在公网上。权访

这类漏洞的接口可怕之处在于它太“安静”了。不像SQL注入会报错，未授问漏也不像文件上传会留后门，权访未授权访问就是接口门没锁。你推开门就能进，未授问漏进去了还不留痕迹。权访很多开发者在写接口时默认“调用方都是自己人”，结果内网接口被扫描器扒出来挂到公网，数据库里的用户手机号、身份证号就成了别人的囊中之物。

我见过最离谱的案例是某政府网站的信息查询接口。设计初衷是给内部人员核对资料用，但开发时忘了加鉴权中间件。结果搜索引擎收录了接口地址，任何人都能通过修改URL里的ID参数遍历全市居民信息。从技术角度看，这个接口写得挺规范——参数校验、SQL预编译、超时设置都做了，唯独少了“你是谁”这一步。

为什么这种低级错误屡禁不止？根源在于开发流程的割裂。前端工程师调试时为了方便，让后端暂时关闭鉴权，上线时忘了改回来。或者项目赶工期，测试用例里只覆盖了正常业务流，没人想到要模拟“未登录用户直接调接口”的场景。更隐蔽的情况是，某些接口设计时确实不需要登录，比如获取验证码、查询公共配置，但后来业务调整，接口被赋予了新功能，权限控制却没跟上。

修补方案其实不复杂。最笨但有效的方法是给每个接口加个“门卫”——无论什么请求，先过身份认证这一关。哪怕是公开接口，也要显式声明“允许匿名访问”，而不是默认放行。高级一点的做法是统一在网关层做鉴权，业务代码里不再纠结权限问题。

但技术手段只是底线。真正要命的是团队对“默认安全”的漠视。我常跟人讲，写接口时心里要有个假设：所有调用者都是恶意的。这个假设能逼着你思考——如果对方不按文档来，直接乱传参数怎么办？如果对方伪造了Referer和User-Agent怎么办？如果对方就是单纯地反复调用你的接口，不为了偷数据，纯粹想拖垮你的服务器呢？

最后说个真实感受。每次看到漏洞报告里写着“已修复：添加登录校验”，我都觉得这只是开始。因为黑客不会只盯着这一个接口。他会顺着你的API文档把所有接口都试一遍，找到下一个没上锁的门。安全不是修一个洞，而是要让每个接口都默认长出一把锁——哪怕这个接口只是返回当前服务器时间。