owasptop10中 最容易受到的攻击类型是

OWASP Top 10里，中最最容易挨打的容易其实是“失效的访问控制”，代码里叫Broken Access Control。击类别被名字唬住，中最翻译成人话就是容易：你该进不去的房间，门没锁。击类

我见过太多真实案例了。中最某电商平台，容易普通用户把URL里的击类数字ID改一下，就能看到别人的中最订单详情。收货地址、容易手机号、击类买了什么，中最全裸奔。容易改个参数而已，击类不需要任何技术含量，小学生拿浏览器都能操作。这不是什么高深的SQL注入，也不是复杂的加密破解，纯粹是开发时忘了检查“这人有没有权限看这个资源”。

这玩意儿为什么稳居榜首？因为它的攻击成本低到离谱，而影响范围却大得吓人。攻击者不需要工具，不需要绕过WAF，只需要会按F12改请求，或者干脆手动改一下地址栏参数。相比之下，注入攻击还得构造payload，XSS还得琢磨怎么过过滤器，失效的访问控制就是白给——系统本身把门敞开了，你只需要走进去。

另一个原因是它藏得深。很多团队做安全测试，重点盯着输入校验、加密传输这些“看起来像安全”的东西。但访问控制是业务逻辑层面的事，得结合具体场景去测。比如一个文件下载功能，开发者只验证了“用户是否登录”，却忘了验证“这个文件是不是属于该用户”。这种漏洞在代码审查里极难被发现，因为单看代码逻辑是通的，只有组合业务场景才能暴露问题。

更要命的是，开发框架默认不提供访问控制方案。Spring Security、Shiro这类工具能帮你管认证，但“某个用户能否访问某个订单”这种细粒度授权，得自己写。写就容易漏，漏了就是漏洞。我甚至见过某团队把权限判断写在前端JS里——后端接口完全裸奔，懂行的直接拿Postman调接口就完事了。

现实里，这个漏洞经常和越权混着出现。水平越权是看别人的数据，垂直越权是干管理员的事。前者靠改ID，后者靠猜接口。有些后台管理接口路径是/admin/getAllUsers，但没有任何角色校验，普通用户登录后直接访问这个URL，就能拉全站用户列表。你说这算不算最蠢的漏洞？但就是年年有，月月有。

别觉得这是小公司才犯的错。某大厂云盘，分享链接的权限校验有缺陷，导致任何人通过特定拼接方式能访问私密文件。事发后官方还嘴硬说是用户自己的问题，后来被安全研究员打脸。所以你看，这问题跟公司大小没关系，跟安全意识有关系。

防御办法其实不复杂：后端每个接口都必须做归属校验，别依赖前端隐藏按钮；用统一的权限注解或中间件，别每个接口自己写if判断；定期用自动化工具扫描越权路径。但知易行难，业务赶工时第一个砍掉的就是这些“非功能需求”。

说白了，失效的访问控制就是安全里的“房间里的大象”——所有人都知道它存在，但总有人选择性失明。直到某天数据被拖库，才想起来补课。那时候，代价就不是改几行代码能解决的了。