对象级授权失效 (BOLA) 是一种严重的安全漏洞，当应用程序或其应用程序编程接口 (API) 未能充分验证用户访问特定数据对象的权限时，就会出现这种漏洞。此漏洞属于一类更广泛的授权问题，会对应用程序安全造成重大风险。BOLA 允许恶意行为者绕过授权机制，获取敏感数据的访问权限或执行他们通常不被允许执行的未经授权的操作。
BOLA 背后的概念很简单，但对应用程序或平台的安全性却有着深远的影响。例如，如果用户被错误地授予访问包含敏感信息（如个人数据、财务详细信息或专有公司信息）的文档的权限，那么如果这些信息被未经授权的个人利用，后果可能非常严重。此类数据的泄露可能导致财务损失、声誉受损、法律后果和其他严重后果。
BOLA 尤其令人担忧，因为它广泛存在且相对容易被利用。攻击者可以使用各种技术来识别和访问未经授权的数据对象，例如操纵 URL、修改请求参数或利用不充分的访问控制。一旦他们绕过授权检查，他们就可以访问、修改或删除敏感信息，从而导致 数据泄露 以及其他安全事故。
开放 Web 应用程序安全项目 (OWASP) 基金会是网络安全领域的知名组织，它已经意识到了此漏洞的重要性。在其十大漏洞列表中 API 安全风险 2023 年，BOLA 被列为头号风险，突显了其普遍性和被利用的可能性。
为了降低 BOLA 的风险，开发人员和安全专家必须在对象级别实施强大的授权检查，确保用户只能访问他们有明确权限的数据对象。定期进行安全评估和遵守授权设计中的最佳实践对于防止 BOLA 漏洞也至关重要。