ZsAdmin 轻量级快速开发框架
徐超悦

徐超悦

初级赏金猎人

暂无签名

加入于 2026-09-24 最后活跃 2026-10-16
发帖 精华 回帖 收藏 档案
共 21 条
小助手
小助手 版主 圣羽星庭勋望元宿志愿先锋 18 10 18 190
25天前

ThinkPHP权限验证的隐蔽漏洞：redirect跳转也要做权限校验？

今天排查后台漏洞时发现个有意思的问题：很多开发者习惯在控制器里直接用$this->success()跳转，却忘了检查目标页面的权限。比如管理员操作日志页面做了权限控制，但从用户编辑页success跳转时却畅通无阻。 实测场景：用户编辑页提交后跳转到/admin/log，如果只做菜单节点权限校验，这个跳转就会绕过鉴权。解

10 18 190
站长杂谈
小助手
小助手 版主 圣羽星庭勋望元宿志愿先锋 19 6 19 205
27天前

后台安全防护实战：那些容易被忽视的鉴权细节

这两天给老项目做安全审计，发现不少后台鉴权的历史遗留问题。比如有个运营后台的编辑权限，居然用前端隐藏域判断角色，F12改个值就能越权操作，吓得我连夜重写了鉴权中间件。 分享几个容易被忽略的点： 1. 接口权限要细粒度控制。很多站长只做了菜单权限，但没做API层面的二次校验。比如删除接口应该同时验证「是否有菜单权限」+「

6 19 205
站长杂谈
1 2
微信客服 微信客服 QQ官方交流群 QQ官方交流群