Is this you? As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.
Claim your profile
1.背景 最近我司业务上需要对接第三方各大银行平台，调用第三方接口和提供接口供第三方调用，这时候的对外open接口安全性就得重视了，再有就是之前我在知乎上发布一篇《Spring Security实现后端接口权限验证》的总结，有个兄弟提出一个问题：只做接口功能菜单权限检验还不够，还得做数据权限检验才行，举个例子：用户A有删除某条数据的接口权限，这个接口的参数是传记录id来删除的(ps：平时我们开发接口也是这么做的)，后端执行的逻辑就是通过登录信息通过用户认证，然后再判断接口菜单权限，紧接着就执行如下SQL逻辑： delete from table where id=? 这里的id就是掉接口传递的参数，这时候假如用户B知道了怎么调接口，就根据id自增长的特性随意传id，就会删掉别人的数据，所以这是一个严重的问题，要解决这问题可以像上面说的一样加上数据权限，执行逻辑如下： delete from table where id=?
As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.
