SEC-MC-152 题解

组织者内部材料，含答案。比赛中不向选手展示。

答案：B

A：错误。来源不表示有权导出。 B：正确。服务器必须强制检查，客户端可被绕过。CSS、缓存、响应头不会形成访问控制。 C：错误。请求者可伪造标记。 D：错误。客户端控制可被绕过。

选项

• A. 只校验浏览器来源
  • 错误。来源不表示有权导出。
• B. 后端每次请求按角色与对象授权
  • 正确。服务器必须强制检查，客户端可被绕过。CSS、缓存、响应头不会形成访问控制。
• C. 只要求前端附上允许标记
  • 错误。请求者可伪造标记。
• D. 只在CSS层禁止按钮
  • 错误。客户端控制可被绕过。

依据：个人信息保护法或数据安全法原则，发布前核对适用条款

审题备注：本题为同题族的独立应用情境；需专家复核业务边界、答案唯一性和干扰项。组卷仍限制每题族最多1题。