認可・権限・アクセス制御の不備

認可・権限・アクセス制御の不備は、誰にどの操作を許可するかの設定や確認が不十分な状態です。

■ 試験で押さえるポイント

• URLのIDを書き換えると、他の利用者の情報が見えてしまうなどの問題が起こります。

• 画面にボタンを表示しないだけでは不十分で、サーバ側で要求ごとに権限を確認します。

• 一般の利用者が管理者の機能を使えてしまう、権限昇格につながることもあります。

■ 過去問での着眼点

ログイン（認証）ができていても、操作ごとの権限の確認（認可）が必要です。

例: 注文の画面で、URLの注文番号を他人のものに変えても表示されないよう、サーバで所有者を確認します。

■ オブジェクト単位の認可とIDOR・BOLA

• ログイン済みかどうかと、指定したデータを閲覧・変更できるかは別である。/orders/123のIDを書き換えたときも、サーバ側で利用者と対象注文の所有者・所属・操作権限を照合する。

• IDORやBOLAへの対策は、IDを推測しにくくするだけでは不十分である。一覧、詳細、更新、削除、ファイル取得などの各経路で、対象オブジェクトへの認可を行う。画面でボタンを隠すだけではAPIを制限できない。

• RBACは役割、ABACは利用者・資源・操作・環境等の属性を判断に使う。原則拒否と最小権限で設計し、権限変更・退職・テナント境界と既存セッションへの反映を検証する。