越权漏洞的理解

越权漏洞

超出了用户的权限范围但对数据进行了修改且成功的漏洞，就是越权漏洞。通常由于权限控制功能设计缺陷导致。越权漏洞可以分为平行越权和垂直越权。

平行越权：是指相同的权限下，不同的用户可以相互修改或者访问数据，则为平行越权也可以叫水平越权。

垂直越权：假设用户A权限低于用户B,A可以访问到或者修改到用户B的数据，则为垂直越权。

**越权漏洞根源：**开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信在部分步骤中遗漏对权限的判定，或对用户提交的参数未进行充分的权限校验，如订单信息、身份信息到支付信息等，一旦权限验证不充分，就易致越权漏洞。

解决方法：

1、存在敏感数据的接口可以加入token、cookie等验证方式，实现先验证用户身份，再进行对应的操作行为。

2、重要参数在后端校验，不要去相信前端传来的参数。

3、可以将传递时的核心参数进行加密，在后端再进行解密。