Broken Access Control в Go с историческим фокусом на IDOR. Путь связывает AuthN с явной политикой доступа, разбирает BOLA на уровне объектов, влияние UUID на обнаруживаемость, BFLA на уровне действий, BOPLA и Mass Assignment на уровне свойств, а затем собирает эти оси в единую модель авторизации.
Отличаем установление личности от решения политики и строим словарь BAC, BOLA/IDOR, BFLA, BOPLA/Mass Assignment и discoverability идентификаторов.
Разбираем object-level решения для чтения и изменения ресурсов. owner scope, tenant boundary, ACL/ReBAC, policy service и отрицательные тесты.
Отделяем обнаруживаемость объекта от права доступа, сравниваем числовые ID, UUID v4/v7 и capability-ссылки без превращения идентификатора в авторизацию.
Проверяем, имеет ли субъект право вызвать действие или административную функцию, и отделяем BFLA от object-level решений BOLA.
Проверяем доступ на уровне свойств объекта и разбираем Mass Assignment. почему право изменить объект не означает право менять роль, баланс или статус.
Собираем subject, action, object, context и properties в одно решение политики, сопоставляем BOLA, BFLA и BOPLA и закрепляем fail-closed подход.