التحكم في الصلاحيات مسؤولية الخادم

كل عملية حساسة تحتاج إلى تحقق على الخادم من هوية المستخدم وصلاحيته بالنسبة إلى المورد. إخفاء زر التعديل أو الحذف يحسن الواجهة لكنه ليس حماية. تظهر المشكلات عندما يغير مستخدم رقمًا في الرابط للوصول إلى بيانات غيره، أو عندما لا تميز الخلفية بين العضو والمشرف. اختبر الوصول بين مستخدمين من المستوى نفسه والوصول إلى وظائف الإدارة، وسجل المحاولات المرفوضة.

المصدر: OWASP.