PROD-MC-155 题解

组织者内部材料，含答案。比赛中不向选手展示。

答案：A

A：正确。不可猜测ID不能替代访问控制，每个对象都需授权。水印或HTTP动词无法阻止越权请求。 B：错误。仍暴露越权内容。 C：错误。请求方式不限制对象权限。 D：错误。降低猜测不替代授权。

选项

• A. 对每个项目对象执行归属授权
  • 正确。不可猜测ID不能替代访问控制，每个对象都需授权。水印或HTTP动词无法阻止越权请求。
• B. 给页面加水印
  • 错误。仍暴露越权内容。
• C. GET改POST即可
  • 错误。请求方式不限制对象权限。
• D. ID改成长随机数即可
  • 错误。降低猜测不替代授权。

依据：个人信息保护法或数据安全法原则，发布前核对适用条款

审题备注：本题为同题族的独立应用情境；需专家复核业务边界、答案唯一性和干扰项。组卷仍限制每题族最多1题。