Web安全系列——越权访问（权限控制失效）

一、前言

越权访问是当前Web应用中最常见的安全风险之一。

本文将介绍越权访问的原理、风险以及典型攻击场景，并为开发者提供有效的防范措施，帮助构建安全的Web应用。

二、什么是越权访问

越权访问，是指用户在不具备相应权限（或者说业务逻辑上不应该具备相应权限）的情况下访问了受限制的资源或执行了不允许的操作。

出现越权访问一般是因为Web应用系统为建立合理的权限控制机制，或者权限控制机制失效。

三、越权访问（权限控制失效）的危害

权限控制失效的直接危害体现在两个方面

• 数据泄漏： 攻击者可能通过越权访问获取敏感数据，比如获取用户个人信息、财务数据、家庭监控视频等。
• 数据被恶意篡改： 攻击者可能通过越权访问修改，比如修改账户余额。

在直接危害的基础上，还会引申出更多的间接危害，比如

1. 侵犯隐私： 获取他人的个人身份信息，从而侵犯他人隐私。
2. 实施诈骗： 获取他人个人信息后转卖给诈骗集团实施诈骗。
3. 法律责任与声誉损害： Web应用用户的个人信息数据被攻击者非法获取后篡改，导致用户利益损，Web应用提供商也可能面临法律责任，且企业的声誉也会受损。

四、越权的分类

• 未授权： 用户未经授权就可以访问特定的对象或功能。