水平权限漏洞的修复方案

水平权限漏洞通常出如今一个用户对象关联多个其余对象（订单、地址等）、而且要实现对关联对象的CRUD的时候。开发容易习惯性的在生成CRUD表单（或AJAX请求）的时候根据认证过的用户身份来找出其有权限的被操做对象id，提供入口，而后让用户提交请求，并根据这个id来操做相关对象。在处理CRUD请求时，每每默认只有有权限的用户才能获得入口，进而才能操做相关对象，所以就再也不校验权限了。可悲剧的是大多数对

>>阅读原文<<