1. 引言在软件测试过程中功能测试往往占据了大部分精力而权限测试却容易被忽视。权限测试是保障系统安全的重要防线一旦出现漏洞可能导致数据泄露、越权操作等严重后果。本文聚焦权限测试中常见的两类问题越权水平越权、垂直越权和未登录访问帮助测试人员建立更全面的测试思维。2. 什么是权限测试权限测试是验证系统对用户访问控制是否正确的测试活动核心目标是确保用户只能访问自己被授权的资源和功能。权限测试通常包含身份认证Authentication和授权Authorization两个层面前者验证用户身份是否真实有效后者验证用户是否有权执行特定操作。3. 越权测试越权是指用户通过某种方式访问或操作了超出自身权限范围的资源。根据越权方向的不同可以分为水平越权和垂直越权两类。3.1 水平越权水平越权是指同一权限级别的用户之间发生的越权行为。例如普通用户 A 通过修改请求参数中的用户 ID访问了普通用户 B 的订单信息、个人资料或私密数据。这类漏洞通常源于后端未对资源归属进行校验仅依赖前端传入的 ID 进行数据查询。测试要点使用用户 A 的会话尝试访问用户 B 的资源如订单、收藏、地址等。修改 URL 或请求体中的 ID 参数观察是否返回他人数据。尝试通过接口直接调用绕过前端页面限制。3.2 垂直越权垂直越权是指低权限用户尝试执行高权限用户才能执行的操作。例如普通用户直接调用管理员接口删除用户、修改系统配置或查看后台数据。这类漏洞通常源于后端未对角色权限进行严格校验或接口未做权限注解。测试要点使用普通用户账号尝试访问管理员专属接口。尝试调用后台管理接口观察是否返回 403 或正常数据。检查前端隐藏的按钮或菜单是否可以通过直接构造请求触发。4. 未登录访问测试未登录访问是指用户未经过身份认证直接访问需要登录才能访问的页面或接口。这类问题常见于前端路由未做登录拦截、后端接口未校验登录状态或静态资源被直接暴露。测试要点清除浏览器 Cookie 或 Token 后直接访问受保护页面。直接构造接口请求不带任何认证信息观察是否返回数据。检查登录失效后旧 Token 是否仍然可用。验证退出登录后能否通过浏览器回退按钮访问之前的页面。5. 权限测试的常见误区在实际测试中以下误区容易被忽略只测试前端按钮是否隐藏未验证后端接口是否真正拦截。只测试正常流程未测试异常参数、边界值和并发场景。只验证单点权限未验证组合权限和角色切换后的权限变化。忽略缓存、CDN 或静态资源导致的未授权访问。6. 总结权限测试是系统安全测试中不可忽视的一环。测试人员应重点关注水平越权、垂直越权和未登录访问这三类典型问题从前后端两个维度进行验证确保系统的访问控制机制真正生效。建议在测试用例设计中单独建立权限测试用例集覆盖不同角色、不同资源类型和异常场景从而提升系统的整体安全性。