开发人员
结果界面
每个漏洞都可查看复现步骤、各账号响应对比和请求/响应原文。响应中的个人信息已脱敏。
01检测项
切换账号，逐一测试这 6 类问题
每一项都标注国内标准条款编号，报告的标准对照表中使用相同编号。
G-01
越权访问他人数据
用账号 A 创建的订单号，由账号 B 发送查询或修改请求。能打开并看到 A 的数据，即为漏洞。
这样发送试试
GET /api/orders/10482OWASP API1 · 安全性确保措施 第5条 · ISMS-P 2.5.1
G-02
调用管理员功能
用普通会员令牌调用只在管理员账号中出现的路径。有响应即为漏洞。
这样发送试试
GET /api/admin/membersOWASP API5 · 安全性确保措施 第5条 · ISMS-P 2.5.1
G-03
篡改权限字段
在注册或修改请求中混入 role、is_admin 等字段后重新查询。值被改变即为漏洞。
这样发送试试
POST /api/users {"role":"admin"}OWASP API3 · 安全性确保措施 第5条 · ISMS-P 2.8.1
G-04
无令牌写入
不登录直接调用写入路径。未被拦截即为漏洞。默认关闭，只在测试环境地址上开启。
这样发送试试
POST /api/orders （无令牌）OWASP API2 · 国内标准对应尚未确定
G-05
篡改文件路径
在下载路径中填入 ../ 或他人的文件编号。文件能被下载即为漏洞。
这样发送试试
GET /api/files/../other-user.pdfOWASP API1 · 国内标准对应尚未确定
G-06
错误信息暴露
发送不存在的资源和错误的参数值。出现 500 错误或暴露服务器路径、堆栈信息即为漏洞。
这样发送试试
GET /api/orders/99999999OWASP API8
02结果交付方式
结果界面、报告、验证链接
同一份结果，按阅读者分三种方式呈现。
整个团队
韩语报告
包含封面、各严重程度数量、漏洞目录、漏洞章节和标准对照表，提供 PDF 和网页版。
委托方
验证链接
无需登录，只显示各项是否通过和最近一次检测时间。可随时关闭。
03复测
修复后只复测单个漏洞
判定结果分五种：已修复、仍有漏洞、未检测、失败、等待中。每轮都有记录。
