broken-object-level-authorization

仓库创建 2026年7月26日最近提交 17 小时前SkillHot 收录 2 小时前

▸ 精选理由

针对最常见且严重的 API 漏洞，便于复现与修补流程化。

▸ 风险提示

可被用于未授权信息泄露测试，需合法授权。

这个 Skill 做什么

测试 API 是否允许通过修改 ID 访问他人对象并给出服务端修复。

检查 API 是否只验证身份却没验证对象归属（BOLA/IDOR），比如把 /api/orders/1042 的 ID 换成别人的就能读到别人的订单。常在安全测试、渗透测试或代码审计时用来证明并干净复现漏洞，同时提供具体的服务端按请求修复方案。特别强调可复现的证据链和把修复放在服务端的正确位置。

▸ 展开 SKILL.md 英文原文

Use when testing whether an API lets one user access another user's objects by changing an ID — the BOLA/IDOR flaw that tops the OWASP API list, plus the server-side fix.

开发编程API安全BOLA/IDOR授权通用

Stars

Forks

仓库内 Skill

积累中

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/04-api-security/01-broken-object-level-authorization/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/04-api-security/01-broken-object-level-authorization/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

## Purpose

Broken Object Level Authorization is the API's most common serious bug: the endpoint authenticates *who you are* but never checks whether *this object is yours*. Swap the ID in `/api/orders/1042` for `1041` and you read someone else's order. This skill covers finding it, proving it cleanly, and fixing it where it belongs — server-side, per request.

## When to use it

Every API endpoint that takes an object identifier — path (`/users/{id}`), query (`?account=`), body field, or header. Especially anything returning or modifying data tied to a specific user, order, document, or tenant. If the client sends an ID and gets data back, test it.

## Procedure

1. Authenticate as a normal

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有