管理画面への直接アクセス — 縦の認可不備

// PHP - 管理画面ルート
Route::get('/admin/users', function () {
    // ★ 認証チェックはあるが認可チェックがない
    if (!is_logged_in()) {
        redirect('/login');
    }
    return view('admin.users', ['users' => User::all()]);
});

「画面にリンクが無いから安全」というのは思い込み。攻撃者は次の方法で URL を発見します:JavaScript ファイルの解析、開発者ツール、URL 推測、過去のリーク情報、外部サービスの参照(Wayback Machine 等)。