Bozuk Erişim Kontrolü
OWASP Top 10'da 1 numara (2021). Şemsiye kategori: IDOR, eksik işlev düzeyi erişim kontrolü, ayrıcalık yükseltme, zorla gezinme, JWT üretim hatası. Kimlik doğrulamanın (authn) değil, yetkilendirmenin (authz) çöktüğü her durum.
Somut örnekler: yönetici denetimi olmayan yönetici uç noktası ("gizli URL"ye güvenmek), yeniden doğrulanmadan kullanılan JWT iddiaları, RBAC kural hatası ("belirli bir zaman aralığında herkes X için yönetici"), yanlış yapılandırılmış CORS (allow-credentials + allow-origin *). Derinlemesine savunma: varsayılan olarak reddet, her uç nokta için zorunlu yetkilendirme ara katmanı, RBAC + ABAC çerçeveleri (CASL, Cerbos, OPA). Otomatik test: Burp Suite ve ZAP'ın yetkilendirme atlatma tarayıcıları var. Modern en iyi uygulama: kod olarak ilke (OPA Rego) ile yetkilendirmeyi uygulama kodundan ayırmak.