访问控制与权限

IDOR：不安全直接对象引用

IDOR（Insecure Direct Object Reference）是最常见的访问控制漏洞。当应用直接使用用户可控的参数（如 ID、文件名）来引用资源，而没有验证当前用户是否有权访问该资源时，攻击者只需修改参数值即可访问其他用户的数据。

典型 IDOR 场景

# 正常请求：用户查看自己的订单
GET /api/orders/10042
Authorization: Bearer user_alice_token
# 响应：{ "order_id": 10042, "user": "alice", "items": [...] }

# IDOR 攻击：将 ID 改为其他用户的订单
GET /api/orders/10041
Authorization: Bearer user_alice_token
# 如果服务器只校验了"用户是否登录"而没有校验"订单是否属于该用户"
# 响应会返回 Bob 的订单数据！

有漏洞的代码 vs 安全代码

# 危险：只根据 ID 查询，没有校验归属
@app.route('/api/orders/<int:order_id>')
@require_login
def get_order(order_id):
    order = Order.query.get(order_id)  # 直接查，不验证归属
    if not order:
        return {"error": "not found"}, 404
    return order.to_dict()  # 任何登录用户都能访问任意订单！

# 安全：在查询中绑定当前用户
@app.route('/api/orders/<int:order_id>')
@require_login
def get_order_safe(order_id):
    current_user_id = get_current_user_id()  # 从 JWT/Session 获取用户 ID
    order = Order.query.filter_by(
        id=order_id,
        user_id=current_user_id  # 同时校验 ID 和 user_id，一个条件不满足则无结果
    ).first()
    if not order:
        return {"error": "not found"}, 404
        # 注意：不要说"无权访问"——这会暴露资源存在！
    return order.to_dict()

水平越权 vs 垂直越权

# 垂直越权漏洞：依赖客户端传递的角色
@app.route('/api/admin/delete-user', methods=['DELETE'])
def delete_user():
    role = request.json.get('role')  # 危险！从请求体获取角色
    if role == 'admin':              # 攻击者可以在请求中改 role 为 admin
        do_delete(request.json['user_id'])
    ...

# 安全：从服务端的认证信息获取角色，不信任客户端
@app.route('/api/admin/delete-user', methods=['DELETE'])
@require_role('admin')  # 装饰器从 JWT/Session 中验证角色
def delete_user_safe():
    # 执行到这里说明装饰器已验证是管理员
    do_delete(request.json['user_id'])

def require_role(role):
    def decorator(f):
        @functools.wraps(f)
        def wrapper(*args, **kwargs):
            user = get_current_user()  # 从 JWT 中获取，不从请求体获取
            if not user or user.role != role:
                return {"error": "Forbidden"}, 403
            return f(*args, **kwargs)
        return wrapper
    return decorator

RBAC：基于角色的访问控制

RBAC（Role-Based Access Control）是最常用的权限模型。用户被分配到角色，角色拥有权限。不直接给用户分配权限，而是通过角色管理。

# 简单 RBAC 实现
PERMISSIONS = {
    'viewer': {'order:read', 'product:read'},
    'editor': {'order:read', 'order:write', 'product:read', 'product:write'},
    'admin':  {'order:read', 'order:write', 'order:delete',
              'user:read', 'user:manage', 'product:read',
              'product:write', 'product:delete'},
}

def has_permission(user, permission: str) -> bool:
    role = user.role
    return permission in PERMISSIONS.get(role, set())

# 在视图中使用
@app.route('/api/orders/<int:id>', methods=['DELETE'])
@require_login
def delete_order(id):
    if not has_permission(current_user, 'order:delete'):
        return {"error": "权限不足"}, 403
    # 还要验证这个 order 属于当前用户或管理员有权删除
    order = get_order_or_403(id, current_user)
    order.delete()

目录遍历攻击

目录遍历（Directory Traversal / Path Traversal）攻击通过在文件路径参数中注入 ../（相对路径跳转），读取服务器上任意文件，如 /etc/passwd、应用配置文件等。

# 正常请求
GET /download?file=invoice.pdf

# 目录遍历攻击（读取 Linux 密码文件）
GET /download?file=../../../../../../etc/passwd

# URL 编码绕过
GET /download?file=..%2F..%2F..%2Fetc%2Fpasswd

# 双重编码绕过（某些框架会解码两次）
GET /download?file=..%252F..%252Fetc%252Fpasswd

import os
from pathlib import Path

# 安全的文件访问
BASE_DIR = Path("/app/uploads").resolve()

def safe_file_path(filename: str) -> Path:
    # 1. 拼接到基础目录
    requested = (BASE_DIR / filename).resolve()

    # 2. 验证最终路径是否仍在允许目录下
    if not str(requested).startswith(str(BASE_DIR)):
        raise ValueError("路径遍历攻击被阻止")

    # 3. 白名单文件扩展名（可选，额外防护）
    ALLOWED_EXTENSIONS = {'.pdf', '.jpg', '.png'}
    if requested.suffix.lower() not in ALLOWED_EXTENSIONS:
        raise ValueError("不支持的文件类型")

    return requested

@app.route('/download')
@require_login
def download_file():
    try:
        path = safe_file_path(request.args['file'])
        return send_file(path)
    except ValueError:
        return {"error": "文件不存在"}, 404

最小权限原则实践

最小权限原则（Principle of Least Privilege，PoLP）：每个用户、进程、服务只应拥有完成其工作所必需的最小权限。这是防御深度（Defense in Depth）策略的核心——即使某一环节被突破，受限的权限也能限制爆炸半径。