致远OAA6的致远敏感信息泄露，不是户敏一次偶然的配置失误，而是感信产品设计逻辑里埋下的结构性缺陷。就在上个月，息泄某大型国企的致远内部通讯录、审批流程附件、户敏甚至部分员工的感信身份证照片扫描件，被曝通过该系统的息泄公开接口被批量抓取。这不是致远攻击者用了什么高深漏洞，只是户敏调用了几个本该鉴权的URL。

问题出在“共享”机制上。感信致远OA的息泄很多模块默认允许跨部门访问，管理员以为设置了“仅本部门可见”，致远但系统在生成分享链接时，户敏根本没把权限判断写进链接校验逻辑。感信换句话说，只要拿到一个合法的文件ID，就能绕过前端菜单限制，直接下载。我去翻了官方补丁说明，他们修复的方式居然是“加强链接随机性”——把ID从纯数字改成带随机字符串。这算什么？把门锁换成密码锁，但钥匙还挂在门口。

更讽刺的是，这套系统在政企市场占有率相当高。很多单位采购它，就是看中“国产化”和“等保合规”。但合规审计只看你有没有日志、有没有加密，不看你逻辑里是否把敏感数据当公共资源处理。我认识的一位运维朋友吐槽：他们单位每季度要做一次安全巡检，每次都能扫出几个未授权访问接口，提交工单后研发那边回复“下版本优化”，然后下版本又冒出新的。

泄露的渠道不止网页端。移动端App的接口更粗暴，很多接口参数里直接带userId和deptId，连加密都懒得做。用抓包工具改两个数字，就能遍历全公司员工的手机号、座机号、办公地点。有个做信息安全培训的讲师跟我聊过，他拿致远OA做演示案例，台下客户脸色都变了——因为那套系统正好是他们单位在用的。

厂商的态度也值得玩味。漏洞披露后，官方公告强调“建议用户加强密码强度”“开启访问控制”，但闭口不提默认配置里那些宽松的共享策略。说白了，他们把责任推给使用者。可普通企业的IT管理员，有几个能逐条审查几百个接口的权限矩阵？

这事的根源，是产品在“易用性”和“安全性”之间，单方面倒向了前者。为了减少管理员配置工作量，系统把所有资源默认设为“可分享”，权限控制成了事后选项。这种设计思路在内部协同软件里很常见，但用在承载人事、财务、合同这些高敏数据的系统上，就是拿用户隐私赌自己的KPI。

别指望换个版本就能解决。只要底层“默认开放”的思路不变，今天堵住这个接口，明天还会有新的旁路冒出来。真正该改的，是把权限模型翻过来——默认全部拒绝，按需逐个授权。哪怕麻烦点，也比让员工身份证照片在公网上裸奔强。