2019年，未授问漏某安全团队在GitHub上扫了一遍公开仓库，权访捞出来超过十万条包含数据库连接串的未授问漏代码提交。其中有个仓库属于一家做智能门锁的权访公司，代码里硬编码了AWS的未授问漏Access Key，权限是权访S3全读写。任何人都能通过这个Key把用户的未授问漏开锁记录、设备指纹、权访甚至绑定的未授问漏手机号全部拖下来。漏洞的权访根源不是代码写得多烂，而是未授问漏开发图省事，把测试环境的权访东西直接推到了生产环境。这种事每天都在发生。未授问漏

未授权访问漏洞说白了就是权访：系统该拦的人没拦住。你不需要偷密码，未授问漏不需要伪造Token，不需要绕过任何认证机制，因为压根就没有认证机制，或者认证机制形同虚设。它跟SQL注入、XSS那些需要构造payload的漏洞不一样，未授权访问更像是你走到一扇门前，发现门根本没锁，推开就进去了。有时候连门都没有，就是一面帘子。

这类漏洞最常见的藏身之处是API接口。前端页面做了权限校验，按钮灰掉了，菜单隐藏了，但后端接口裸奔。你打开浏览器的开发者工具，看一眼网络请求，把/api/user/123/profile里的123换成124，如果返回了别人的数据，恭喜你，这就是一个典型的越权+未授权组合。我见过一个在线教育平台，课程视频的播放地址是一个递增的整数ID，改个数字就能看付费课程。他们前端做了加密，做了签名校验，但后端只认那个整数。前端的安全措施在这种情况下就是一层纸。

更隐蔽的情况出在中间件和云服务上。Redis未授权访问是老生常谈，但直到今天，Shodan上还能搜到大量开放6379端口且没有密码的Redis实例。攻击者连上去之后，可以写SSH公钥直接登录服务器，也可以写定时任务反弹Shell。Elasticsearch、MongoDB、Memcached，这些默认不设防的服务，一旦暴露在公网，基本等于把家门钥匙插在锁孔上。有人会说，内网环境不用担心。但内网横向移动的前提，往往就是先找到一个未授权的入口。

还有一种容易被忽略的：静态资源目录遍历。Nginx配错了autoindex on，或者Tomcat开了目录列表，攻击者就能像逛文件管理器一样翻你的服务器。备份文件、配置文件、日志文件，这些东西一旦被翻出来，下一步就是找数据库密码或者API密钥。我曾在一次渗透测试中，通过一个未授权的/backup/目录拿到了整站的源码包，里面config.php明文写着数据库的root密码。从发现到拿到服务器权限，前后不到十分钟。

修复未授权访问漏洞，核心就一句话：默认拒绝，显式允许。每个接口、每个服务、每个资源，都要有明确的访问控制策略。别指望前端做安全，前端的一切都可以被绕过。后端接口必须独立校验权限，而且校验逻辑要放在业务逻辑之前。云服务的安全组规则要收紧，不该对公网开放的端口坚决不开。Redis、MongoDB这些，哪怕在内网，也要设密码，也要绑定内网IP。至于目录遍历，一个autoindex off就能解决的事，别偷懒。

安全圈有句话：认证是门锁，授权是房间钥匙。未授权访问漏洞，要么是门没锁，要么是钥匙谁都能配。很多公司舍得花钱买WAF、买EDR，却不愿意花半天时间把Redis的密码加上。这种本末倒置的事，每天都在上演。