Question

实现应用程序的完善的访问控制不是件容易的事，越权漏洞防不胜防，本章从越权漏洞相关案例给出以下几点建议：

1. 对于开发者而言，一定要有安全意识，时刻保持警惕。
2. 永远不要相信来自客户端（用户）的输入，对于可控参数进行严格的检查与过滤。
3. 执行关键操作前必须验证用户身份，多阶段功能的每一步都要验证用户身份。
4. 对于直接对象引用，加密资源 ID，以防止攻击者对 ID 进行枚举。
5. 在前端实现的验证并不可靠，前端可以验证用户的输入是否合规，要在服务端对请求的数据和当前用户身份做校验。检查提交 CRUD 请求的操作者（Session）与目标对象的权限所有者（查数据库）是否一致，如果不一致则阻断。
6. 在调用功能之前，验证当前用户身份是否有权限调用相关功能（推荐使用过滤器，进行统一权限验证）。
7. 把属主、权限、对象、操作的场景抽象成一个统一的框架，在框架内统一实现权限的管理和检查。