某电商平台凌晨两点被拖库，鉴权漏洞八百万条用户手机号和密码哈希躺在暗网论坛上明码标价。鉴权漏洞安全团队复盘时发现，鉴权漏洞漏洞出在一个早已被遗忘的鉴权漏洞旧版API接口上——它只校验了用户是否登录，却没校验登录者到底是鉴权漏洞谁。这就是鉴权漏洞典型的鉴权漏洞：系统把“你是谁”和“你有没有钥匙”混为一谈了。

鉴权漏洞的鉴权漏洞本质很简单：服务器对来访者身份的信任链条断了一环。有的鉴权漏洞断在参数上，比如把用户ID直接写在URL里，鉴权漏洞改个数字就能看到别人的鉴权漏洞订单；有的断在逻辑上，比如“记住我”功能的鉴权漏洞token永不过期；还有的断在流程上，重置密码接口没验证旧密码就直接发新密码。鉴权漏洞这些漏洞不像SQL注入那么炫技，鉴权漏洞但造成的鉴权漏洞伤害往往更隐蔽——攻击者不需要注入任何代码，只需要正常点击、鉴权漏洞正常浏览，只是把请求里的某个ID换成了别人的。

我见过最离谱的案例是个招聘网站。它的简历预览功能允许未登录访客查看前200个字符，用来吸引HR注册。结果开发图省事，把“是否允许查看”的判断写在了前端JS里。后端接口根本没做二次校验。任何人把请求里的preview=1改成preview=0，就能拉取完整简历，包括身份证号和期望薪资。这漏洞躺了三年，直到有安全研究员偶然用curl测试才发现。

鉴权漏洞的高发区往往不是核心业务模块，而是那些“边角料”功能：导出报表、批量操作、第三方回调、管理后台的“测试账号”。因为开发主流程时注意力集中，但收尾时容易松懈。更麻烦的是，很多系统有多个入口——网页端、App端、小程序端、开放平台API——每个入口的鉴权逻辑可能由不同团队实现，标准不统一，就会出现“主站查了权限，但开放平台没查”的缝隙。

修复鉴权漏洞不能光靠补丁。你得把“身份验证”和“权限授权”拆成两个独立环节，每次请求都重新确认，不能缓存信任。更实际的做法是：所有涉及用户数据的接口统一走一个鉴权中间件，禁止业务代码里自己判断“当前用户是谁”。这个中间件必须强制校验三件事——登录态是否有效、该用户是否拥有访问该资源的权限、该操作是否属于该用户角色允许的行为。缺一不可。

最后说个反直觉的观察：很多鉴权漏洞不是被黑客挖出来的，而是被用户自己“撞”出来的。有人手滑改URL里的ID，发现能看到别人信息，然后截图发微博。这种漏洞曝光率比黑客攻击高得多，因为普通用户会试，而黑客反而会留着漏洞反复利用。所以，如果你在开发时觉得“这个接口反正没人知道”，那它迟早会以最尴尬的方式出现在你面前。

(责任编辑：焦点)