Broken Access Control
OWASP Top 10 #1 (2021). Categoria guarda-chuva: IDOR, controle de acesso ausente em nível de função, escalonamento de privilégio, force-browsing, falha na emissão de JWT. Tudo em que a autorização falha, não a autenticação.
Exemplos concretos: endpoint de admin sem verificação de admin (confiando em "URL obscura"), claims de JWT aceitos sem reverificação, bug de configuração de regra RBAC ("todo mundo vira admin durante a janela X"), CORS mal configurado (allow-credentials + allow-origin *). Defesa em profundidade: negar por padrão, middleware de autorização obrigatório em cada endpoint, frameworks RBAC + ABAC (CASL, Cerbos, OPA). Testes automatizados: Burp Suite e ZAP têm scanners de bypass de autorização. Boa prática moderna: policy-as-code (OPA Rego) separa a autorização do código da aplicação.