凌晨两点十七分，越权我点开了一个不该点开的访问链接。不是歌词钓鱼网站，不是越权色情弹窗，是访问一个测试接口——开发文档里写着“仅限内部调试”，但URL里那个`user_id=1001`的歌词参数，明晃晃地躺在那里，越权像一把没上锁的访问钥匙。

我把数字改成1002，歌词页面刷新，越权另一个人的访问姓名、手机号、歌词家庭住址，越权整整齐齐地排列在JSON格式里。访问那一刻，歌词我后背发凉。不是因为我入侵了什么高安全系统，而是因为——这他妈的也太容易了。没有验证，没有鉴权，后端把用户信息像食堂阿姨打菜一样，谁伸勺子都给舀一勺。

这就是越权访问。横向的，纵向的，垂直的，水平的。名字听着玄乎，说白了就是：你登录了A账户，却能看到B账户的订单、C用户的病历、D公司的财务报表。系统只验了“你是不是登录用户”，却忘了验“这个数据是不是该给你看”。

我见过最离谱的案例，是一家电商平台的优惠券接口。攻击者只要把`coupon_id`往后加一位，就能领到别人还没用的满减券。更狠的是有人写了个脚本，从1循环到100000，把全站未来三个月的优惠券全薅光了。平台发现的时候，损失已经是个八位数。你猜怎么着？修复方式不是加权限校验，而是把接口改成了POST请求——以为换个请求方式就能挡住人，天真得像用纸糊的盾牌去挡加特林。

还有个更细思极恐的。某医疗APP的在线问诊记录，通过一个“分享给医生”的功能泄露了。分享链接里带着`record_id`，医生端和患者端用的是同一个接口。只要把ID减个1，就能看到前一个患者的化验单。我试过，从10086减到10000，看到了86个人的梅毒检测结果、乙肝两对半、还有几个人的精神科用药记录。那些数据背后是活生生的人，他们可能就在你隔壁工位，可能刚在楼下便利店买过关东煮。

为什么这种漏洞层出不穷？根子上是开发者的思维惯性。很多人写代码时，脑子里只有“功能能不能跑通”，压根没有“这功能会不会被恶意使用”。登录了就信任，有参数就返回，图省事把用户ID直接塞进URL——等出事才想起来补丁，可数据早就裸奔了不知道多少年。

有个朋友在甲方做安全测试，他说自己最怕的不是漏洞多，而是业务方那句“这个功能本来就是给内部人用的，谁会没事改参数”。结果呢？他们公司的HR系统，被一个实习生用浏览器开发者工具改了响应包，把自己的职级从P4改成了P7，工资条都打出来了。要不是月底财务对账发现异常，这实习生能白领三个月高级经理的薪水。

别觉得这些事离你远。你注册过的每个网站，用过的每个APP，都可能藏着这样的后门。有些是程序员偷懒，有些是产品经理催得急，有些是外包团队写完就拍屁股走人。你唯一能做的，是祈祷那些存着你身份证号、银行卡信息的系统，恰好碰上一个较真的开发者，或者一个良心发现的测试。

那天晚上，我关掉了那个测试接口的页面，没再继续往下翻。不是因为我高尚，是因为我意识到——如果连我这种三流脚本小子都能发现的东西，真正的黑产早就把数据拖走八百遍了。后来我发了个邮件给那个网站的运维，标题就四个字：改改吧。三天后，接口加了鉴权，但我知道，这世上还有无数个“user_id=1001”躺在某个角落的服务器里，等着下一个失眠的人，顺手拧开那扇没锁的门。