應用安全

API 權限檢查：為什麼登入成功仍不夠？

發布方 Mingxi Security Check · 發佈日期 2026-09-12 · 更新日期 2026-09-12

需要考慮什麼

以客戶文件入口為例，列出哪些角色能查看、修改、下載和刪除各類文件，涵蓋員工、客戶與企業邊界。讓業務、開發與測試人員共用一份權限表。

OWASP 將缺少物件授權列為 API 風險。隱藏按鈕或使用難猜的編號不能代替伺服器端檢查。匯出和附件端點也要採用一致規則。

用獲准帳號與模擬記錄測試允許和拒絕的存取，保存預期結果。權限變更後加入迴歸檢查，避免只修好主頁面而遺漏其他入口。

不能。難猜的編號不能代替伺服器判斷使用者是否有權存取該物件。

本文提供一般知識，並非針對你的系統作出的檢測結論。實際測試須先確認範圍與授權。

標準公網安全檢查 · US$120／次

一個明確約定的網站或公開 API 目標，不自動包含子網域、關聯應用或其他資產。

不包含登入後功能、多帳號角色、業務流程或複雜業務邏輯測試。