Нарушенный контроль доступа
Broken Access Control — №1 в OWASP Top 10 (2021). Общая категория: IDOR, отсутствие проверки прав на уровне функций, повышение привилегий, force-browsing, ошибки выдачи JWT. Всё, где отказывает авторизация, а не аутентификация.
Типичные примеры: админский эндпоинт без проверки роли (в расчёте на «неочевидный URL»), доверие к claims в JWT без повторной проверки, ошибка в конфигурации RBAC («у всех права администратора на время окна»), неверно настроенный CORS (allow-credentials вместе с allow-origin *). Защита строится эшелонированно: запрет по умолчанию, обязательный слой авторизации на каждом эндпоинте, фреймворки RBAC и ABAC (CASL, Cerbos, OPA). Для автоматизированного тестирования у Burp Suite и ZAP есть сканеры обхода авторизации. Современная практика — policy-as-code (OPA Rego): авторизация отделяется от кода приложения.