Эндпоинт GET /orders/{id} проверяет, что пользователь аутентифицирован, и возвращает заказ по идентификатору. Что здесь не так?

Уязвимость. GET /orders/1001 возвращает заказ, если пользователь вошёл. Пользователь меняет число на 1002 — и видит чужой заказ с адресом и телефоном. Это небезопасная прямая ссылка на объект (IDOR) — самый частый вид нарушения контроля доступа, первое место в OWASP Top 10.

Исправление:

• проверка владения в каждом запросе на сервере — не в интерфейсе, не скрытием кнопки;
• в выборке из базы: SELECT ... WHERE id = :id AND owner_id = :user — тогда чужая строка просто не найдётся, и забыть проверку сложнее, чем в отдельном if;
• для сложных правил (роли, организации, общие документы) — централизованный слой авторизации (политики, ABAC, OPA), а не проверки, разбросанные по контроллерам;
• ответ на чужой ресурс — обычно 404, а не 403: не подтверждать существование.

Чем не защититься: UUID вместо последовательных id уменьшает перебор, но ссылки попадают в логи, письма, историю браузера; проверка на клиенте; «секретность» URL.

Профилактика: запрет по умолчанию, тесты на доступ к чужим ресурсам для каждого эндпоинта, автоматические сканеры (два пользователя, перекрёстные запросы).