Missing Function Level Access Control
Fehlende funktionale Zugriffskontrolle bedeutet, dass der Server für bestimmte Funktionen/Endpoints keine Autorisierungsprüfung durchführt und sich nur auf das Verstecken von Frontend-Menüs verlässt.
Zweck
Verstehen, dass Frontend-Verstecken keine Sicherheit ist und serverseitige Autorisierung erforderlich ist; ein häufiges Zugriffskontrolldefizit.
Mechanismus
Das Frontend versteckt das Admin-Menü, aber das serverseitige /api/admin hat keine Autorisierungsprüfung, sodass Angreifer den Endpoint direkt aufrufen und Admin-Operationen ausführen können. Abwehr: serverseitige Autorisierungsprüfung an jedem Endpoint, zentrale Middleware.
Anwendungsfälle
- Autorisierungsaudit auf Funktionsebene
- Serverseitige Zugriffskontrolle
- Endpoint-Schutz
Verwandte Tools
HTTP-Statuscodes-Referenz
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Kostenlos, privat und 100% clientseitig. WERKZEUG
JWT-Dekodierer
Decode and inspect JWT header, payload, and time claims with expiry status. Kostenlos, privat und 100% clientseitig. WERKZEUG