越权防范。越权的威胁在于一个账户即可控制全站用户数据，当然这类数据仅限于存在漏洞功能对应的数据。越权漏洞的成因主如果由于开发职员在对数据进行增、删、改、查看时对推广客户端请求的数据过分相信而遗漏了权限的断定。针对越权漏洞产生是什么原因拟定出响应的防范手段。 (1）通过使用类似spring security等成熟的权限管理框架，规范系统的用户权限。 (2）可以从用户的加密认证cookie中获得目前用户id，预防攻击者对其修改。或在session、cookie中加入不可预测的user信息。 (3）每次页面访问时对用户权限进行验证，使用表单或其他参数提交用户进行访问操作的凭证时，应尽量使用很难猜测的架构方法（增加字母及随机数字等）或使用复杂的加密算法加密后提交，在推广客户端和服务器端对提交的凭证或会话的权限进行验证。 (4）对管理功能模块进行严格的权限验证，如非必要建议不对网络开放或进行互联网层的访问控制。
