Autorização inadequada

Autenticação prova quem você é. Autorização decide o que você tem permissão para fazer.

Uma autorização defeituosa significa que o sistema permite que usuários façam ou vejam coisas que não deveriam.

BOLA significa Autorização Quebrada no Nível do Objeto.

É o principal risco de API: uma API verifica se você está autenticado, mas não se o objeto específico que você solicita realmente pertence a você.

Imagine que sua conta seja do usuário 100.

Se você alterar o ID e o servidor ainda responder, você acabou de ler os pedidos de outra pessoa. Isso é BOLA.

Os desenvolvedores costumam confiar no ID da solicitação.

Eles se esquecem de verificar se o usuário conectado realmente é proprietário desse objeto. A correção é fazer uma verificação de propriedade em cada solicitação.

Outra falha é a BFLA: Autorização Quebrada no Nível da Função.

Um usuário comum chama uma ação exclusiva de administrador e ela funciona, porque o ponto de acesso nunca verifica a função do usuário.

Considere uma rota de administrador:

Se um usuário comum puder chamá-la com sucesso, a API não aplicou o controle de acesso baseado em função.

Algumas APIs mapeiam cegamente os campos da solicitação para um registro.

Um usuário poderia adicionar um campo como role=admin a uma atualização de perfil e elevar discretamente os próprios privilégios.

Nunca dependa do cliente para ocultar botões ou campos.

O servidor deve impor cada decisão de autorização, pois os atacantes enviam solicitações diretamente, ignorando completamente sua interface.

IDs sequenciais facilitam a exploração de BOLA.

Usar identificadores aleatórios como um UUID não substitui as verificações de autorização, mas elimina o simples ataque de adivinhar o próximo número.

Uma API segura nega por padrão.

O acesso só é permitido quando uma regra explícita o concede. Assim, uma verificação esquecida falha de forma segura, em vez de vazar dados.

As falhas de autorização são fáceis de ocultar, portanto teste-as intencionalmente.

Tente acessar dados de outro usuário com seu próprio token. Se funcionar, você encontrou uma falha grave que precisa ser corrigida.

Uma API confirma que você está autenticado, mas retorna o registro de outro usuário quando você altera o ID. Que falha é essa?

A autorização quebrada permite que usuários acessem o que não deveriam. Fique atento a BOLA, BFLA e à atribuição em massa.

Aplique verificações de propriedade e função no servidor, negue por padrão e teste a autorização deliberadamente.