业务接口权限加固需四重校验：身份可信性、操作合法性、资源归属性、上下文适配性；核心是服务端强制校验资源归属防水平越权，结合rbac与abac分层防控垂直及上下文越权，敏感操作须二次确认与字段级脱敏，并配套全链路审计与自动熔断机制。
业务接口权限加固不是加一道“登录检查”就完事，而是要让每个请求在抵达业务逻辑前，都经过身份可信性、操作合法性、资源归属性、上下文适配性四重校验。越权访问之所以频发，核心在于后端把权限判断交给了前端、信任了URL参数、忽略了数据边界、放过了响应内容。
服务端强制校验资源归属（防水平越权）
所有涉及用户私有数据的接口，必须在服务端验证“当前登录用户”与“请求目标资源”的归属关系，不能只靠前端隐藏或参数ID拼接。
- 例如：
/api/orders/{orderId}接口，不能仅根据 orderId 查询订单，而要查SELECT * FROM orders WHERE id = ? AND user_id = ?，其中第二个 ? 是当前登录用户的 ID - 推荐在 DAO 层或 MyBatis 的 XML 中统一注入
AND owner_id = #{currentUserId}过滤条件，避免每个方法重复写 - 对批量操作（如导出、删除多条）更要逐条校验归属，或改用“按当前用户范围查询+业务 ID 列表二次比对”方式
分层权限模型落地（防垂直与上下文越权）
单一 RBAC 已不够用，需结合 ABAC 做动态决策，尤其在多租户、多部门、多项目场景中。
- RBAC 管角色功能权限：比如 “销售岗可访问客户列表”，但不决定“能看哪个客户”
- ABAC 补上下文规则：比如 “销售岗 + 所属部门 = 华东区 + 当前时间在工作日” 才允许查看某客户详情
- 关键接口入口处调用统一鉴权服务，传入
{userId, action, resourceId, context: {ip, device, time, tenantId}}，由策略引擎返回是否放行
敏感操作二次确认 + 数据脱敏（防字段级与操作级越权）
越权不仅体现在“能不能进”，更藏在“返回什么”和“能不能点”。很多漏洞是接口返回成功，但带出了不该看的字段，或执行了不该做的动作。
- 导出、删除、审批等高危操作，必须要求携带时效性 token（如 2 分钟内有效的一次性验证码），且服务端核验该 token 是否绑定当前用户与本次操作意图
- 序列化响应时启用字段白名单机制（如 Jackson 的
@JsonView或自定义序列化器），禁止User对象默认输出passwordHash、idCard、internalRemark等字段 - 对手机号、身份证号、银行卡号等敏感字段，服务端直接返回脱敏值（如 138****1234），而非依赖前端处理
全链路审计 + 自动熔断（防隐蔽越权与持续试探）
权限防护要有“眼睛”和“刹车”——既要看得清谁在越界，也要能立刻拦住异常行为。
- 记录每条敏感接口调用的完整上下文：用户 ID、IP、设备指纹、请求参数（脱敏后）、响应状态、耗时、是否触发权限拒绝
- 配置实时规则：如“同一 IP 在 5 分钟内对 /api/user/{id} 发起 20 次不同 id 查询”，自动标记为可疑并临时限流
- 发现越权行为后，不只是返回 403，还要同步触发账号会话失效、发送安全告警、写入审计事件库供追溯
