越权漏洞解决方法

越权漏洞

借鉴，写的很好

垂直越权

垂直越权指的是用户通过某些手段访问或操作本不应有权限访问的、更高权限级别的资源或功能。通常，这种情况发生在不同权限层级的用户之间，越权者尝试获取更高权限的资源。

例子：
普通用户试图访问管理员面板或其他管理功能。
普通员工访问财务数据、薪资信息等只能由管理层访问的资源。

解决垂直越权问题

垂直越权通常与不同权限层级的用户有关，防止普通用户访问管理员权限或其他敏感数据。解决垂直越权问题的关键是严格的权限控制，确保不同角色的用户仅能访问其授权的资源和功能。

基于角色的访问控制 (RBAC)

基于角色的访问控制（RBAC）是一种常见的权限管理方式，它根据用户的角色来控制访问权限。通过定义不同的角色（如管理员、普通用户、访客等）并明确角色所对应的权限，系统可以防止用户访问高权限资源。

例如：管理员角色可以访问所有管理页面，普通用户只能访问普通用户的页面。

权限分配应清晰明确，避免角色权限重叠或过度授予。

最小权限原则

最小权限原则要求每个用户仅获得完成其工作所需的最低权限。避免用户获得不必要的高权限，从而降低越权风险。

例如：普通员工不应该具有删除数据、修改系统设置等管理员权限。

权限应根据实际需求来配置，不应随意扩大用户权限范围。

访问控制列表 (ACL)

访问控制列表（ACL）允许系统管理员为每个资源配置独立的访问权限。在用户访问资源时，系统会根据ACL进行权限检查，确保用户不能越权访问更高权限的资源。

例如：财务数据应该仅允许财务人员访问，其他部门人员无权查看。

ACL机制可以精细地控制每个资源的访问，避免权限泄露。

会话与令牌管理

通过会话管理和令牌验证，可以确保用户的访问权限始终符合其身份。使用JSON Web Token（JWT）等技术可以帮助在每次请求时验证用户的权限，防止权限提升。

例如：JWT中包含用户角色信息，服务器根据JWT中的角色字段来验证用户是否有权限访问请求的资源。

水平越权

水平越权指的是用户访问或操作其他同权限级别用户的资源或数据。尽管越权者和目标用户的权限层级相同，但越权者仍试图访问本不属于其的数据或功能。

例子：
用户可以管理自己的博客，然后有一个删除功能，他可以通过修改博客id的方式删除其他用户的博客。

解决方法

数据级别的权限控制

用户应只能访问自己拥有或有权限访问的数据。数据级别的权限控制通过确保每个用户仅能访问自己相关的数据，防止通过修改请求参数等手段访问其他用户的数据。

例如：用户A通过请求/user/{userId}/profile来访问其个人资料，后台需要验证{userId}是否与当前登录用户的ID匹配

使用唯一标识符

每个资源应具备唯一标识符，用户在请求时需要使用该标识符。避免通过修改URL中的标识符来访问其他用户的资源。
比如delete?id=5应该加上key，如果修改了id，后台校验就会发现

$key = md5($userId . $id . $secret);