在线看福利中文影院,久草在线视频资源站,呦系列视频一区二区三区

...

@router.put("/profile", response_model=UserRead, status_code=status.HTTP_200_OK)
def update_current_user_details(
user: UserSchema,
current_user: Annotated[User, Depends(get_current_user)],
db: Session = Depends(get_db),
):
db_user = update_user(db, user.username, user)

return current_user

User class with 字段如下所示：role

class User(BaseModel):

    username: str

    first_name: Union[str, None] = None

    last_name: Union[str, None] = None

    phone_number: Union[str, None] = None

    role: Union[str, None] = None

損壞的對象屬性級別授權概念驗證

利用此漏洞非常簡單。例如，可以發送以下 curl HTTP 請求來更改當前用戶的角色，以對餐廳的員工執行權限提升：

curl -X 'PUT' \

  'http://localhost:8080/profile' \

  -H 'accept: application/json' \

  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJNaWtlIiwiZXhwIjoxNzE2NzUxNjYwfQ.8khfY1H_2VLZPNuxptkEdOstuJlpME6ZAJNGnKZKFd0' \

  -H 'Content-Type: application/json' \

  -d '{

  "username": "Mike",

  "role": "Employee"

}'

下面顯示的 HTTP 響應正文成功地將角色更新為 Employee：

{

  "username": "Mike",

  "first_name": "Mike",

  "last_name": "",

  "phone_number": "",

  "role": "Employee"

}

損壞的對象屬性級別授權修復

要修復此漏洞，建議實施一個新架構，該架構定義用戶可以更新哪些字段。這樣，用戶將無法更新架構中未包含的字段。以下代碼段顯示了不包含 field 的新架構。UserUpdateUserUpdaterole

class UserUpdate(BaseModel):

    username: str

    first_name: Union[str, None] = None

    last_name: Union[str, None] = None

    phone_number: Union[str, None] = None

現在，UserUpdate 模式可以在如下所示的功能中使用：update_current_user_details

rom apis.auth.schemas import UserUpdate



...



@router.put("/profile", response_model=UserRead, status_code=status.HTTP_200_OK)

def update_current_user_details(

    user: UserUpdate,

    current_user: Annotated[User, Depends(get_current_user)],

    db: Session = Depends(get_db),

):

    db_user = update_user(db, user.username, user)



    return current_user

損壞的對象屬性級別授權建議

為了防止此類漏洞，我建議采取以下措施：

默認拒絕訪問：遵循最小權限原則，僅授予特定角色所需的權限。
使用基于架構/DTO 的驗證機制，每個 CRUD 操作具有不同的架構，以確保只能訪問或修改指定的字段。
實施精細授權檢查：確保在對象和屬性級別都檢查授權。
根據終端節點的業務/功能要求，將返回的數據結構保持在最低限度。
使用不可預測的標識符：通過使用 GUID 或其他非順序標識符來防止暴力嘗試。
為資產級訪問編寫單元測試：確保單元測試涵蓋未經授權的訪問嘗試。
執行代碼審查：定期審查代碼以識別潛在的安全問題。

建議的單元測試，以確保未經授權的用戶無法修改用戶的角色：

def test_update_role_by_customer_ignores_role_returns_200(test_db, customer_client):

    data = {

        "username": "customer",

        "role": "Employee",

    }   

    response = customer_client.put("/profile", json=data)



    assert response.status_code == 200

    assert db_customer.role == UserRole.CUSTOMER