feat(slidev): update 3 4
This commit is contained in:
smart
+7
-8
@@ -2,19 +2,19 @@
|
||||
|
||||
## 场景
|
||||
|
||||
工单删除按钮在前端按权限隐藏，但后端删除接口没有权限校验。
|
||||
敏感删除或作废按钮在前端按权限隐藏，但后端接口没有权限校验。
|
||||
|
||||
## 问题代码表现
|
||||
|
||||
| 层级 | 表现 |
|
||||
| --- | --- |
|
||||
| 前端 | 普通研发账号看不到删除按钮 |
|
||||
| 后端 | 直接请求 `/workOrder/delete` 仍可删除 |
|
||||
| 前端 | 普通业务账号看不到删除按钮 |
|
||||
| 后端 | 直接请求删除或作废接口仍可成功 |
|
||||
| 审计 | 删除记录可能缺失 |
|
||||
|
||||
## 风险
|
||||
|
||||
攻击者或误操作用户可以绕过前端直接调用接口删除工单。
|
||||
攻击者或误操作用户可以绕过前端直接调用接口删除或作废业务数据。
|
||||
|
||||
## 修复要求
|
||||
|
||||
@@ -27,7 +27,6 @@
|
||||
|
||||
| 账号 | 操作 | 预期 |
|
||||
| --- | --- | --- |
|
||||
| 管理员 | 删除允许删除的工单 | 成功并写审计 |
|
||||
| 普通研发 | 直接请求删除接口 | 失败 |
|
||||
| 只读用户 | 前端访问删除按钮 | 不可见 |
|
||||
|
||||
| 管理员或授权角色 | 删除允许删除的数据 | 成功并写审计 |
|
||||
| 普通业务角色 | 直接请求删除接口 | 失败 |
|
||||
| 只读角色 | 前端访问删除按钮 | 不可见 |
|
||||
|
||||
Reference in New Issue
Block a user