Relier les objets
Une API expose des opérations sur des objets : livres, profils, documents ou commandes. Un identifiant peut apparaître dans le chemin, un paramètre, le corps ou une réponse. Lis les relations plutôt que de deviner tous les numéros. Une propriété document_id indique un lien ; elle ne dit pas nécessairement quelle route l’utilise ni quels droits sont nécessaires.
{"id":18,"title":"Atlas","document_id":"doc-6","owner":"eleve-a"}id est ici celui du livre. document_id désigne un autre objet. owner renseigne un propriétaire : ce champ doit être interprété avec la session courante et la documentation.
Authentification et autorisation
L’authentification détermine qui tu es. L’autorisation décide si cette identité peut effectuer une action sur cet objet. Une IDOR apparaît lorsqu’un serveur utilise un identifiant fourni par le client sans vérifier suffisamment les droits sur l’objet. Un identifiant compliqué limite la découverte fortuite, mais ne remplace pas le contrôle d’accès.
Comparer deux comptes de test
Dans un laboratoire, crée deux comptes que tu contrôles et un document privé pour chacun. Capture la lecture du document A avec le compte A. Rejoue ensuite cette même lecture avec la session B, en ne changeant que le contexte d’identité. Le serveur doit refuser ou masquer l’objet. Vérifie aussi le corps : un 200 avec une erreur n’est pas une lecture réussie. Les ressources volontairement publiques ne démontrent pas une IDOR.
Vérifie que tu as compris.
3 questions pour mettre les idées en pratique. Réponds avec tes mots, puis vérifie chaque réponse.
La correction repère les notions attendues et certaines formulations proches. Elle reste indicative : lis aussi l’explication. Tes réponses restent dans cette page et ne sont pas enregistrées.