后台安全防护实战：那些容易被忽视的鉴权细节

这两天给老项目做安全审计，发现不少后台鉴权的历史遗留问题。比如有个运营后台的编辑权限，居然用前端隐藏域判断角色，F12改个值就能越权操作，吓得我连夜重写了鉴权中间件。

分享几个容易被忽略的点：

1. 接口权限要细粒度控制。很多站长只做了菜单权限，但没做API层面的二次校验。比如删除接口应该同时验证「是否有菜单权限」+「是否属于数据所有者」，我们项目就出现过通过抓包能删别人文章的情况。

2. CSRF防护别依赖Referer。见过有站点只用Referer判断请求来源，但在某些浏览器隐私模式下Referer会为空。推荐用Laravel的VerifyCsrfToken中间件方案，同时注意排除API路由。

3. 越权查询要防微杜渐。比如/userinfo?id=123这种接口，一定要在Service层强制加上「当前用户ID=123」的校验条件。之前用ThinkPHP时遇到过where条件被前端参数覆盖的坑，后来养成在Model里写死$scope的习惯。

现在新项目我都强制要求：所有鉴权走统一的Policy类，数据库操作必须用ORM防止拼接SQL，关键业务接口全部上操作日志。虽然开发时要多写几行代码，但比起半夜接到报警电话，这点成本真的值。