چرا باید همیشه بین دو حساب کاربری متفاوت تست کنید
یک عادت ساده که به‌تنهایی بزرگ‌ترین دسته از آسیب‌پذیری‌های کنترل دسترسی (IDOR، Mass Assignment، BOLA) را کشف می‌کند.
اکثر آسیب‌پذیری‌های کنترل دسترسی فقط وقتی قابل‌کشف‌اند که *دو* حساب کاربری مجزا (یا حداقل یک حساب و حالت مهمان) داشته باشید: یکی برای ایجاد داده، دیگری برای تلاش دسترسی به همان داده.
یک گردش‌کار عملی
- با حساب A یک منبع (سفارش، پیام، فایل) ایجاد کنید و شناسه‌ی آن را یادداشت کنید.
- با حساب B (یا بدون لاگین) سعی کنید همان شناسه را مستقیم درخواست کنید.
- همین کار را برای *هر* عملیات نوشتن (ویرایش، حذف) هم تکرار کنید، نه فقط خواندن.
چرا اغلب نادیده گرفته می‌شود
تست با یک حساب تنها، مسیر «happy path» را تایید می‌کند اما هیچ اطلاعی از مرزهای مجوز نمی‌دهد؛ این دقیقاً همان شکافی است که IDOR و دوستانش از آن سوءاستفاده می‌کنند.