IDOR
Insecure Direct Object Reference — ошибка контроля доступа: приложение отдаёт идентификаторы объектов (в URL или теле запроса), не проверяя, есть ли у пользователя право на конкретный объект. /api/invoice/1234 → меняем на 1235 → читаем счёт другого клиента.
В списке OWASP Top 10 за 2021 год «Broken Access Control» стоит на первом месте. Последовательные ID делают атаку тривиальной: перебрать числа от 1 до 100000 и выгрузить все данные — дело нескольких минут. Случайные UUID сужают поверхность атаки, но не устраняют причину. Настоящее решение — проверка прав на стороне сервера при каждом запросе: «владеет ли пользователь X объектом Y?». Типичная картина для REST API, которые проверяют аутентификацию, но не авторизацию на уровне ресурса. Известные случаи: USPS Informed Delivery (2018), австралийский MyGov.