Broken Access Control
Prima voce della OWASP Top 10 (2021). Categoria ombrello: IDOR, controllo degli accessi mancante a livello di funzione, escalation dei privilegi, force browsing, errori nell'emissione dei JWT. Tutto ciò in cui fallisce l'autorizzazione, non l'autenticazione.
Esempi concreti: endpoint di amministrazione senza verifica del ruolo (affidandosi a un «URL oscuro»), claim JWT considerati attendibili senza nuova verifica, errore di configurazione delle regole RBAC («tutti sono admin per X nella finestra Y»), CORS configurato male (allow-credentials + allow-origin *). Difesa in profondità: negare per impostazione predefinita, middleware di autorizzazione obbligatorio per ogni endpoint, framework RBAC + ABAC (CASL, Cerbos, OPA). Test automatici: Burp Suite e ZAP hanno scanner per il bypass dell'autorizzazione. Buona pratica moderna: policy-as-code (OPA Rego) separa l'autorizzazione dal codice dell'applicazione.