昨天結尾我說今天要改那個數字：網址上有一條 /orders/1042，改成 1043，看會發生什麼事。

我在自己架的玩具伺服器上做了，登入甲的帳號，把 /orders/1001 改成 /orders/1002，乙的訂單就回來了。然後我想順手證明一件「大家都知道」的事，結果被自己的實驗打臉。

先看那六張被越權讀到的訂單

那台伺服器上有八張訂單，分屬六個人，甲有其中兩張。甲登入之後把編號從 1001 數到 1008：

  /orders/1001  本來就看得到  {"id":1001,"ownerId":1,"item":"機械鍵盤","total":3280}
  /orders/1002  拿到了別人的  {"id":1002,"ownerId":2,"item":"人體工學椅","total":12800}
  /orders/1003  拿到了別人的  {"id":1003,"ownerId":3,"item":"螢幕支架","total":1990}
  ...
越權拿到 6 張別人的訂單

甲是合法登入的使用者，沒偽造權杖、沒繞過任何驗證，他只是把一個數字加一。

那台伺服器的查詢條件只有訂單編號。它問的是「有沒有這張單」，沒問「這張單是不是你的」。

這件事我本來想拿 AI 開刀

動手之前，我把這個假設寫進了自己的規格：

AI 生的 CRUD 幾乎必然只做驗證、跳過授權，因為授權邏輯需要理解業務規則，而業務規則不在 prompt 裡。

證明方式想好了：同一段需求，一份給了身分與擁有者欄位但不明說授權規則，另一份再多加一句「訂單是使用者的私人資料，只有下單的那個人看得到」，各生十二份。

這個判準不讀程式碼。每一份生成的處理函式都掛進同一套測試台，用甲的身分去要乙的訂單，看乙那張單的內容有沒有真的回來。兩次探測缺一不可：自己的要拿得到，別人的不能拿到，少了前面那次，一份「什麼都回 403」會拿到滿分。

我也手寫一份已知不綁身分的丟進同一套測試台，確認它被判成外洩。全綠的時候，你沒辦法從結果本身分辨「模型都寫對了」跟「我的判準壞了」。

這個判準只回答一個很窄的問題：乙那張單的指定內容有沒有出現在回應裡。只回一個 id、只回金額、用回應時間差洩漏、把資料寫進紀錄，它全都判成擋住了。下面那張表要照這個範圍讀，它不等於「授權做對了」。

96 份都通過雙探測，也都寫了擁有者核對

前兩組是動筆前就鎖定要比的，後面六組是看到「兩組都通過」之後才追加的。跑過的組都在這裡，一組都沒挑掉。

最後那兩組本來我最有把握。我把一份沒有身分核對的處理函式直接交出去，需求只寫「加一個 ?fields= 參數讓前端只拿部分欄位」，一個字都沒提安全。

十二份都通過雙探測。而且我逐份掃過原始碼，那個核對是它自己加的，沒有人要求（owner-check.sh 掃 96 份，96 份都有那一行）。

原本那句「幾乎必然不做授權」講得太滿。至少在這八種已經給了授權材料的需求裡，96 次都沒重現。

那我那台會外洩的伺服器是誰寫的

我寫的，用的就是只憑訂單編號查詢的舊寫法。

九十六份都通過了這個判準，救不了你程式庫裡已經在跑的那些端點，因為它們不是今天生的。「AI 會不會寫」跟「我的端點現在擋不擋得住」是兩個問題，這 96 份只回答了前面那個，而且只在這組需求下。

這就接回 Day 5 那句總綱：它幫你把可疑的地方列出來，但沒有一步的判定權在它身上。

指定內容全擋住了，但兩份漏了「這筆存不存在」

96 份都沒回傳乙的指定內容。可是「不給」有兩種說法，而它們的差別是可以被問出來的：

問「別人的那張」跟問「根本不存在的編號」，回應分不分得開

bare-4     分得開   403（空白）             404（空白）
nested-10  分得開   403 Forbidden          404 Invoice not found
其他 94 份  一樣     兩種問法回同一句

這兩份在單次探測裡把「存在但無權」跟「不存在」分開回答了。只要這個差異穩定重現、編號又是可以猜的連號，一個一個問就列得出哪些編號存在，不必看到訂單內容。

反過來那 94 份只能說這兩次問法看不出差別。回應時間、長度、標頭我沒量。

我原本以為問題出在那組回 403 的：查清單的端點十二份全部回 403，查單筆的幾乎全回 404。查了才發現搞錯對象，那十二份問不出來，因為它對「不是你的」跟「沒這個人」一視同仁，兩邊都是 403。

從程式碼可以推測兩條分支不一樣，但實際回應還會經過框架的錯誤處理與序列化。要確認外面真的分得出來，還是得把兩種都送一次。

狀態碼不是我動筆前打算量的，是跑完才注意到的，還沒有獨立樣本確認過。

今天在你自己的專案上做四件事

一、把「拿到 ID 就直接查」的端點列成候選清單。 這一步交給 AI，模式比對它快得多。但清單上留一欄空白：這個資源是公開的，還是只有擁有者能看。那一欄你自己填，模型不知道你哪些是商品、哪些是私人訂單。

二、逐一打過去，不要用讀的。 兩個測試帳號，甲登入，要乙的東西。判「有沒有外洩」看內容，我看過回 500 卻夾帶完整資料的寫法；判「一不一致」才看狀態碼。

今天這份 recipe 裡那支 probe.sh 就是幹這件事的，跑起來長這樣：

bash probe.sh before   # 修之前：越權拿到 6 張別人的訂單
bash probe.sh after    # 修之後：越權拿到 0 張

它做的事很笨：拿甲的身分把編號數過去，比對回應裡有沒有別人那張單的品名。換成你的專案就是改兩個帳號跟一份端點清單。

三、只有擁有者能看的資源，把授權範圍併進查詢，不要查回來再比對。

// 修之前：問「有沒有這張單」
const order = db.findOrder(id);

// 修之後：問「有沒有這張屬於你的單」
const [order] = db.findOrders({ id, ownerId: user.id });

先查回來再比對也擋得住，但那個形狀是「預設放行、靠一個 if 攔下來」。那行 if 忘了寫、被重構刪掉、條件寫成寬鬆比較，都是靜悄悄地放行。把擁有者放進查詢條件是「預設查不到」，寫錯通常是誰都查不到，你當天就會發現。前提是那個查詢介面會強制帶擁有者，呼叫端漏傳就當成沒條件的話，這個保證一樣不成立。

這一招只蓋得住「只有擁有者能看」這一種。客服、管理員、組織成員、共用資源都不是比一個 ownerId 就算數的，那些要把「這個人看得到什麼」集中交給一層策略去算，再把範圍交給查詢。每支端點各自寫死 ownerId: user.id，新增一種角色就是每一支都要改。

四、把「沒這張單」跟「有但不是你的」回成同一句。 順便看一眼現在回的是什麼，修之前那台是這樣：

{"error":"order 9999 not in table \"orders\" (store.mjs:12)"}

資料表叫什麼、哪個檔案第幾行，都送出去了。

同一輪打完，六張變零張。

第五步：先把偵測需要的那一欄補上

修好之後那台，越權請求全部回 404，狀態碼跟內容都看不出差別。時間、標頭那些我沒有量。就算真的乾淨，你還是不知道有沒有人正在逐號探測。

今天只要做一件事：確認存取紀錄裡有「這筆資源屬於誰」那一欄。 沒有那一欄，一排 404 看起來跟打錯網址沒兩樣。如果你手上只有 nginx 那種存取紀錄，這件事不是打個勾，是一個下午起跳。

這裡有個坑：查詢帶了擁有者之後查不到就是空集合，被擋掉的請求你根本不知道是誰的資料。要填那一欄就得在拒絕之後另外查一次，而那支查詢查得到別人的資料，誰能呼叫要先限制死。紀錄本身也要限制誰看得到、留多久，那一欄寫成穩定的假名值就夠。

規則等紀錄有東西再寫，形狀大概是：同一個工作階段在 N 秒內碰到 M 位以上別人的資源。我在示範流量上先把 N 暫定 60 秒、M 從 1 掃到 6，最小可用的 M 是 3，因為裡面有個客服本來就會碰到兩個客戶。M 是掃出來的，N 只是暫定。 你要抄的不是這兩個數字，是那個掃一遍的動作。它也只抓得到最懶的那種掃描，對方每 60 秒碰兩個就繞過去。

這一輪量不到的三件事

一、一顆模型、一天、每組十二發。 用的是 gpt-5.6-sol，走 Codex CLI 0.147.0。96 份都通過雙探測，只能反駁「這顆模型在這組需求下必然交出別人的資料」，不能證明它的授權永遠正確。

二、我的需求裡都寫了 req.user.id 拿得到。 這是最可能的干擾，所以有一組把它混進 traceId 跟 locale 中間，結果一樣。但完全不提身分的需求我沒有量，那樣它連綁的材料都沒有。

三、其中兩組沒有交錯跑。 六組是兩兩交錯的，vague 跟 nohint 是各自連跑十二發，排除不掉時間漂移。它們不在主比較裡，但 Day 15 才被指出過同一件事，所以要寫出來。

收工的時候，你手上多了三樣

一份端點清單（含身分核對狀態那一欄）、至少一條修好的端點加上它的驗證紀錄、一條寫下來的偵測規則（含 M 的校準結果，以及 N 的暫定值與「還沒校準」那個註記）。攻擊集也從十六條變成十七條，新那條連模型都沒有參與。

明天

今天決定給不給的是後端那一行查詢，它自己判得出來。明天那件事後端判不出來：模型說「確認刪除」，然後東西就真的沒了，而它說那句話的理由可能是它剛剛讀到的一段文字。

那中間得有一個閘。

上一篇：Day 15｜模型一句話都沒違反，工具卻被 302 帶進內網

今天這一份：recipe 16｜範例專案：github.com/cyh7789/ai-security