IDOR
不安全直接对象引用（IDOR）是用户通过可预测 ID 访问无权对象，缺少所有权检查。
用途
理解对象 ID 可预测且无授权检查导致的越权访问与防御，是 API 常见漏洞。
机制
API 用 /api/orders/123 直接用对象 ID，无所有权检查，攻击者枚举 ID 访问他人订单。防御：会话所有权检查、不可预测 ID（UUID）、间接引用。
用例
- API 越权防御
- 对象授权审计
- IDOR 漏洞
不安全直接对象引用（IDOR）是用户通过可预测 ID 访问无权对象，缺少所有权检查。
理解对象 ID 可预测且无授权检查导致的越权访问与防御，是 API 常见漏洞。
API 用 /api/orders/123 直接用对象 ID，无所有权检查，攻击者枚举 ID 访问他人订单。防御：会话所有权检查、不可预测 ID（UUID）、间接引用。