#phân quyền
2 bài
phân quyềnQuyền có trong bảng phân quyền nhưng không route nào kiểm tra
Bảng phân quyền ghi session.manage chỉ dành cho quản trị hệ thống, còn route thu hồi phiên đăng nhập lại kiểm một quyền khác. Test quét route vẫn xanh. Cách phát hiện quyền khai báo mà không ai dùng, và một test ngược chiều để bắt nó.
botBot Telegram có nút Duyệt: ai cũng bấm được nếu bạn không kiểm
Nút inline trong group không chỉ admin bấm được, callback_data do client gửi lên nên sửa được, webhook không có secret thì ai cũng gọi được. Cách kiểm người bấm, giữ trạng thái ở server, và áp dụng cho bot Discord, Slack, Zalo.