Проверьте авторизацию API на границе двух компаний
Вход подтверждает личность, а проверка прав определяет, какой документ ей доступен. Подготовьте две тестовые компании и правило совместного доступа. Помощник предложит сценарий, а после подтверждения вы сравните ответы с матрицей.
Подготовить проверку изоляции клиентов →Матрица доступа к документу
| Кто и что читает | Ожидаемый доступ |
|---|---|
| А читает свой закрытый документ | разрешено, содержимое совпадает. |
| Б читает закрытый документ А | отказ или скрытая запись, без закрытых полей. |
| Б читает явно расшаренный документ | доступны только разрешённые поля. |
Подготовьте проверку с ИИ-помощником
Пример разговора
У меня SaaS с несколькими компаниями. Пользователи одной компании не должны видеть документы другой. Помоги это проверить.
Помощник · Этот документ закрытый или доступен по правилу обмена? Укажите тестовых владельцев из двух компаний. Я предложу разрешённые и запрещённые чтения на подтверждение.
При первом подключении подтвердите адрес и выдайте помощнику доступ к нужному проекту. Просмотрите черновик и подтвердите запуск в кабинете.
Демонстрационный результат и следующее действие
После исправления повторите чужое чтение и оба разрешённых. Запрет для всех скрывает утечку, но ломает нормальную работу.
Вопросы перед началом
Любой ответ 200 на чужой запрос означает IDOR?
Сверьте правило обмена, владельца записи и тело ответа. Документ, которым поделились намеренно, служит контрольным примером.
Можно проверить BOLA одним токеном?
Один пользователь не даёт контрольного сравнения между компаниями. Нужны две рабочие учётные записи и объекты с известными владельцами.
Должен вернуться 403 или 404?
Оба варианта могут соответствовать политике. Проверьте, что тело ответа и ссылка на скачивание не раскрывают закрытые поля или файл.
Как отличить исправление от сломанного входа?
Повторите успешное чтение владельца на той же версии. Если оба пользователя не входят, изоляция остаётся непроверенной.
Что можно проверить по открытому адресу?
Внешняя проверка исследует доступную снаружи часть. Для закрытых сценариев нужны разрешение и подходящие тестовые аккаунты. Анализ исходников и экспертное исследование имеют другую область проверки.
Можно использовать уже подготовленный проект?
Выберите подтверждённый проект, сверьте окружение и права, затем подтвердите запуск. Если изменилась модель доступа, заново проверьте тестовые данные.