SEC-MC-069 题解

组织者内部材料，含答案。比赛中不向选手展示。

答案：A

A：正确。认证不等于授权，API应统一执行权限校验。 B：错误。本项主张“用户只要已登录就已满足全部数据授权”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。 C：错误。本项主张“中间件可在接口返回后补做权限阻断”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。 D：错误。本项主张“只影响接口平均延迟而不影响权限”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。

选项

• A. 已登录用户可访问未授权功能或对象
  • 正确。认证不等于授权，API应统一执行权限校验。
• B. 用户只要已登录就已满足全部数据授权
  • 错误。本项主张“用户只要已登录就已满足全部数据授权”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。
• C. 中间件可在接口返回后补做权限阻断
  • 错误。本项主张“中间件可在接口返回后补做权限阻断”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。
• D. 只影响接口平均延迟而不影响权限
  • 错误。本项主张“只影响接口平均延迟而不影响权限”。本题应采用“已登录用户可访问未授权功能或对象”，依据是：认证不等于授权，API应统一执行权限校验。

依据：个人信息保护法或数据安全法原则，发布前核对适用条款

审题备注：干扰项按相邻概念、错误分母、计算顺序、权限或时间边界设计；专家仍须逐项确认不构成另一正确答案。题族保持，一卷最多1题。