縦の認可と横の認可、IDOR、予測不可能な ID は対策ではない、API エンドポイントの認可、OWASP Top 10 の1位。

ID 改ざん攻撃、URL パス改変、パラメータ汚染、Mass Assignment、ミドルウェアによる防御、デフォルト拒否原則。

うつろい EC の注文詳細エンドポイントが所有者チェックを行っていない。order_id を別の値に変えるだけで、他のユーザの配送先住所、購入商品、決済額が見えてしまう。

一般ユーザの画面にはリンクがない /admin/users に、URL を直接入力するとアクセスできてしまう。サーバ側の認可チェック欠落。

プロフィール更新 API に {"role": "admin"} を追加して送るだけで、自分を管理者に昇格できる。

ID は UUID で予測しにくいが、別 API のレスポンスから他人の UUID が漏れる。「予測不可能性」だけでは認可対策にならない例。

UI で「管理者ボタン」を非表示にしているだけで、サーバ側のチェックがない。ボタンを発火させる API 呼び出しを直接実行すれば実行可能。