我去阅读OWASP 2013十大,并且发现了不安全的直接对象引用排名第四.然而,当我试图进一步研究一些现有的公共RESTful API时,事实证明Facebook和世界银行甚至都不打扰它.两者都只是使用直接对象引用.正如您在下面的示例中所看到的:
Facebook API调用
Word Bank API调用
这是否意味着我们在开发公共RESTful API时不应该认真对待不安全的直接对象引用？
直接来自OWASP指南:
我该如何防止这种情况？
防止不安全的直接对象引用需要选择保护每个用户可访问对象的方法(例如,对象编号,文件名):1
.使用每个用户或会话间接对象引用.[...]
2.检查访问权限.[...]
Facebook和世界银行选择了选项2而不是选项1.
| 归档时间： |
|
| 查看次数： |
815 次 |
| 最近记录： |