权限、数据隔离与访问审计测试教程

授权模型

四层防线

固定测试动作

• 先用有权账号完成一次，记录 URL、接口和资源 ID。
• 切换无权账号，不经过页面直接访问相同入口。
• 分别修改角色、机构、资源 ID 和操作参数。
• 同时断言响应状态、响应内容和业务是否真正生效。

常见数据范围

每个矩阵格至少验证

• 列表是否出现。
• 详情是否可打开且字段完整。
• 编辑、删除、审批是否可执行。
• 统计和金额合计是否只计算授权范围。
• 导出文件是否与页面范围一致。

两类越权

双重判据

• 访问被拒绝：按产品约定返回 403、404 或统一错误。
• 内容不泄露：响应体、文件名、数量、金额和状态都不包含目标资源信息。
• 操作不生效：数据库、消息、审计日志中没有越权产生的业务结果。

变更场景

高风险资源

用例标题示例

当个人数据范围用户替换导出任务 ID 下载他人文件时，系统拒绝下载且不返回文件名、大小或临时地址。

访问控制链路

堡垒机解决的边界

堡垒机主要治理内部运维访问：统一入口、个人身份、最小权限、会话审计和高危操作拦截。它不替代 WAF、漏洞修复或抗 DDoS，测试时要区分内部访问治理与外部攻击防护。

访问审计测试

访问控制链路

优先级判断

• P0/P1：越权访问、数据隔离、敏感字段与高危操作。
• P1：权限变更残留、导出范围与统计泄露。
• P2：低风险入口展示、多设备体验；仍按真实业务影响调整。
• 优先级来源于损失和暴露面，不按用例复杂度决定。

练习

1. 列出一个业务模块的菜单、按钮、URL、接口、附件和导出入口。
2. 准备有权、无权、同级他人和跨机构账号与数据。
3. 画出角色 × 数据归属 × 操作矩阵。
4. 执行水平、垂直和跨租户越权，并核对数据库结果。
5. 修改角色和用户状态，验证当前会话与重新登录后的差异。
6. 若项目使用堡垒机，验证审批、会话审计与高危命令策略。

完成检查