业务逻辑漏洞与越权防护实战

水平越权经典代码：
  // ❌ 只按传入 id 查询，不校验归属
  Order order = orderService.getById(request.getParameter("orderId"));
  // 把 orderId 换成别人的 → 返回别人的订单

垂直越权经典代码：
  // ❌ 前端隐藏按钮，后端却不鉴权
  @GetMapping("/admin/users")
  public List<User> listUsers() { ... }   // 任何登录用户都能调用

① 抓包改 ID：水平越权核心手法——把请求里的 ID/标识换成他人/相邻值
② 改角色字段：请求体/响应里手动加 role=admin、isAdmin=true 看后端是否信
③ 枚举接口：遍历 /api/order/1 /api/order/2 ... 看是否返回他人数据
④ 方法级权限测试：低权限 token 调高权限接口（POST /admin/...）看是否 403
⑤ 批量接口：关注导出、搜索、批量操作是否漏校验归属

篡改链示例：
  ① 前端表单 price=99 → 攻击者改成 price=0.01 → 后端直接按字段入账 ❌
  ② 下单接口返回「待支付 99」→ 攻击者调用「确认支付」接口不带金额 → 后端默认按 0 收 ❌
  ③ 退款接口：退 100，攻击者传 -100 → 余额反而 +100 ❌

正确姿势：
  金额一律服务端计算：商品价格从商品表取，下单时服务端重算合计
  支付以支付回调/服务端账单为准，不信任客户端传来的金额
  退款/增减的入账操作对「原始单据」做幂等校验（不能重复退同一单）

经典竞态（领券）：
  if (coupon.remaining > 0) {          // 检查
      coupon.remaining--;              // 执行
      user.coupons.add(coupon);        // 执行
  }
  并发 100 个请求同时通过检查 → 剩下 0 张却发出去 100 张

更隐蔽的竞态：多阶段接口（创建订单 → 支付 → 发货），
  攻击者并发调用中间阶段，跳过前置校验。

① 数据库原子操作：UPDATE ... WHERE remaining > 0（把检查放进 SQL 条件里）
② 唯一约束兜底：唯一索引/唯一业务单号（同一个人同一张券只能有一行）
③ 分布式锁/Redis 锁：对同一业务实体（用户+券）加锁串行化
④ 幂等键：接口带幂等 key，服务端按 key 去重
⑤ 乐观锁/版本号：UPDATE ... WHERE version = ?

① 验证码/风控跳过：前端发了验证码，后端不校验；或「验证接口」与「业务接口」分离，
   攻击者直接调业务接口跳过验证
② 步骤顺序绕过：先做完「支付」再跳「下单」，或直接跳到「发货」
③ 审批绕过：构造非正常状态（如直接把状态改成已审核）
④ 次数限制绕过：验证码发送次数、登录失败次数只在前端限制
⑤ 时间/条件绕过：黑名单校验只在特定时段生效、白名单只校验首字符

状态机校验：业务流程用服务端状态机驱动，每一步校验「当前状态是否允许此动作」
  例如：订单状态枚举 NEW → PAID → SHIPPED → DONE，
  只有 PAID 才能 SHIPPED，后端校验状态迁移，而非信任前端传入状态
全链路校验：验证码、风控、审批的校验点放在「执行业务动作的接口」上，
  而不是放在「独立的校验接口」上
服务端状态权威：所有状态变更由服务端计算并落库，前端只读展示

自动化工具擅长检测「协议/语法层」问题（注入、XSS），
业务逻辑漏洞依赖「领域知识」：
  · 什么是合理的价格？工具不知道
  · 谁有权看这条数据？工具不知道
  · 一次最多领几张券？工具不知道

结论：业务逻辑漏洞主要靠「人工测试 + 威胁建模」发现，
      重点是测试人员（或安全人员）真正理解业务规则。

① 访问控制：每个接口/数据访问是否做了「归属 + 角色」校验？（不只登录校验）
② 金额/数量：是否服务端计算？客户端金额是否只当参考？
③ 幂等性：写操作是否幂等？重复请求会重复扣款/发券吗？
④ 状态机：业务流程是否有服务端状态迁移校验？
⑤ 竞态：检查-执行之间是否原子？
⑥ 限额：领券/抽奖/验证码是否有服务端限额 + 唯一约束？
⑦ 越权枚举：所有按 ID 查询的接口，是否校验归属？

在威胁建模与需求评审阶段就加入「业务规则安全设计」：
  · 每个业务规则标注「如果被滥用，最坏后果是什么」
  · 金额、库存、额度、积分、券 → 一律服务端权威计算
  · 所有跨用户数据访问 → 统一走「资源归属校验」中间件
  · 高风险写操作 → 幂等键 + 审计日志