业务逻辑漏洞完整指南：越权访问/水平越权/垂直越权/价格篡改/绕过，含防御方法。
写在前面：合法学习边界
业务逻辑漏洞利用只在授权测试环境进行。
一、业务逻辑漏洞分类
1
| 越权访问（IDOR/BOLA）· 水平越权 · 垂直越权 · 价格篡改 · 绕过类
|
二、利用方法
1
2
3
| 越权：改 ID 参数 GET /user/1 → /user/2
篡改：改价格 price=1 → price=0.01
绕过：验证码绕过 · 支付绕过 · 多步操作跳过
|
三、防御方法
1
2
3
4
| 服务端验证：所有业务逻辑在服务端校验
权限检查：每次请求检查用户是否有权操作
输入校验：价格/数量使用服务端固定值
操作审计：敏感操作记录日志 · 异常操作实时告警
|
四、小结
业务逻辑漏洞无法用 WAF 完全防护，必须在业务代码层面实现权限校验和参数验证。