IDOR（不正な直接オブジェクト参照）

あなたは ID=2（佐藤 花子） でログイン中。マイページは ?id=2 で自分の情報を表示する。対策OFFでは、URLの id を 他人の番号に変えるだけで、他人の非公開情報が見えてしまう。

試す: ?id=1（田中） ／ ?id=3（鈴木） （対策OFFだと他人の情報が見える）

マイページ（id=3）

↑これは他人（id=3）の情報。本来見えてはいけない。

対策: 「ログイン済みかどうか」だけでなく、そのリソースにアクセスする権限が あるかを、リソースごとにサーバー側で必ず確認する（デフォルト拒否）。