OWASP 应用程序安全验证标准 4.0.3

验证应用程序是否在可信服务层上强制执行访问控制规则，特别是在存在客户端访问控制且可能被绕过的情况下。

验证访问控制使用的所有用户和数据属性以及策略信息，除非有明确授权，否则不能被终端用户操纵。

验证最小权限原则是否存在——用户只能访问其具有特定授权的功能、数据文件、URL、控制器、服务和其他资源。这意味着要防护欺骗和权限提升。 (C7)

[已删除，重复 4.1.3]

验证访问控制在出现异常时也能安全失败。(C10)

验证敏感数据和 API 是否受到针对记录的创建、读取、更新和删除的不安全直接对象引用 (IDOR) 攻击的保护，例如创建或更新他人的记录、查看所有人的记录或删除所有记录。

验证应用程序或框架是否实施了强大的反CSRF机制以保护已认证的功能，并且有效的反自动化或反CSRF机制能够保护未认证的功能。

验证管理界面是否使用适当的多因素身份验证以防止未经授权的使用。

确保目录浏览已被禁用，除非是有意为之。此外，应用程序不应允许发现或泄露文件或目录的元数据，例如 Thumbs.db、.DS_Store、.git 或 .svn 文件夹。

确认应用程序对于低价值系统具有额外的授权（例如升级认证或自适应认证），并且/或者对高价值应用程序实施职责分离，以根据应用程序的风险和以往的欺诈情况执行反欺诈控制。