📁 删除他人文件

👤 当前用户

📋 所有文件

🧪 IDOR 攻击演示

🔬 漏洞代码

// ❌ 有漏洞：不校验文件归属
router.delete('/file/:id', (req, res) => {
  delete files[req.params.id]  // 直接删除
  res.json({ success: true })
})

// ✅ 安全：校验文件归属
router.delete('/file/:id', (req, res) => {
  const file = files[req.params.id]
  
  if (file.userId !== currentUser.id) {
    return res.status(403).json({ error: '无权删除' })
  }
  
  delete files[req.params.id]
  res.json({ success: true })
})

💥 真实案例