失效的访问控制 (IDOR)

# 简介

失效的直接对象引用 (Insecure Direct Object References, IDOR) 是一种访问控制漏洞，当应用程序使用用户提供的输入直接访问对象时，就会产生此类漏洞。如果应用程序没有充分验证请求该对象的用户是否拥有访问权限，攻击者就可以通过篡改引用（例如 URL 中的数据库 ID、文件名或用户 ID）来访问其他用户的敏感数据。

需要明确的是，引用本身并不是漏洞。真正的漏洞在于：在未检查当前用户是否被允许访问该对象的情况下，盲目信任了该引用。

在本实验中，你将扮演一名安全测试人员，对一个本地 Web 应用程序 API 进行评估。你将首先以普通用户身份进行身份验证，分析应用程序如何引用你的用户资料，然后利用 IDOR 漏洞访问其他用户（包括管理员）的私有数据。