越权取消订单
https://store.b.qq.com/my/orders
这是用户a的Cookie信息,也就是说只能取消用户a本身的订单
我们切换到用户2
利用我们用户a之前的信息来越权去爱下用户2的订单看是否可以
可以看到是用户a的,我们将订单号改成用户2的看看
这是用户2的订单号
返回显示true
回到订单查询处看看
已经取消了
权限验证
越权取消订单
https://store.b.qq.com/my/orders
这是用户a的Cookie信息,也就是说只能取消用户a本身的订单
我们切换到用户2
利用我们用户a之前的信息来越权去爱下用户2的订单看是否可以
可以看到是用户a的,我们将订单号改成用户2的看看
这是用户2的订单号
返回显示true
回到订单查询处看看
已经取消了
权限验证