水平越权是指系统中的用户在未经授权的情况下,查看到另一个同级别用户所拥有的资源.水平越权会导致信息泄露,其产生原因是软件业务设计或编码上的缺陷.iFlow 业务安全加固平台可以缓解部分场景下的水平越权问题. 以某电商网站为例,其查看订单功能存在漏洞:仅依靠修改 URL 参数,任意登录用户不仅可以查看自己的订单信息,也可以查看到其他用户的订单信息.我们看看在网站自身存在缺陷的情况下,如何利用 iFlow 阻止水平越权的订单信息访问. 一.原始网站 1.1 正常用户访问 正常用户登录成功之后,进入个…