smart
67837df8d0
- 新增全套考试卷、评估卷、参考答案与考试培训包模板 - 修正slidev培训课件：调整模块标题、链路图缩放，替换工单示例为通用业务对象 - 修正课堂红线表述为证据红线，将小组作业调整为个人作业要求 - 新增权限、状态流转、审计日志、看板指标四类可复用业务规则块 - 整理AI工程技能交付包，迁移旧资产至客户专属交付包并统一术语 - 新增考试输出模板与TRAE使用记录文档
34 lines
868 B
Markdown
34 lines
868 B
Markdown
# 权限遗漏反例
|
|
|
|
## 场景
|
|
|
|
业务对象删除按钮在前端按权限隐藏，但后端删除接口没有权限校验。
|
|
|
|
## 问题代码表现
|
|
|
|
| 层级 | 表现 |
|
|
| --- | --- |
|
|
| 前端 | 普通研发账号看不到删除按钮 |
|
|
| 后端 | 直接请求 `/<module>/delete` 仍可删除 |
|
|
| 审计 | 删除记录可能缺失 |
|
|
|
|
## 风险
|
|
|
|
攻击者或误操作用户可以绕过前端直接调用接口删除业务对象。
|
|
|
|
## 修复要求
|
|
|
|
1. 后端删除接口增加权限校验。
|
|
2. 删除前校验数据范围。
|
|
3. 删除成功写审计日志。
|
|
4. 无权限账号直接请求接口返回 403 或业务拒绝。
|
|
|
|
## 验收
|
|
|
|
| 账号 | 操作 | 预期 |
|
|
| --- | --- | --- |
|
|
| 管理员 | 删除允许删除的业务对象 | 成功并写审计 |
|
|
| 普通研发 | 直接请求删除接口 | 失败 |
|
|
| 只读用户 | 前端访问删除按钮 | 不可见 |
|
|
|