SEC-MC-149 题解

组织者内部材料，含答案。比赛中不向选手展示。

答案：A

A：正确。身份认证不等于权限授权，服务端需验证访问主体对资源和操作的权限。按钮、路径加密或延长凭证均非授权校验。 B：错误。难猜地址不能替代授权。 C：错误。认证仍不表示管理权限。 D：错误。直接请求可绕过。

选项

• A. 对功能和数据对象执行授权检查
  • 正确。身份认证不等于权限授权，服务端需验证访问主体对资源和操作的权限。按钮、路径加密或延长凭证均非授权校验。
• B. 把URL随机化即可
  • 错误。难猜地址不能替代授权。
• C. 再次检查token签名即完成
  • 错误。认证仍不表示管理权限。
• D. 隐藏路由入口
  • 错误。直接请求可绕过。

依据：个人信息保护法或数据安全法原则，发布前核对适用条款

审题备注：本题为同题族的独立应用情境；需专家复核业务边界、答案唯一性和干扰项。组卷仍限制每题族最多1题。