一、不安全的直接物件引用的概念

不安全的物件直接引用（Insecure direct object references），指一個已經授權的使用者，通過更改訪問時的一個引數，從而訪問到了原本其並沒有得到授權的物件。

二、不安全的直接物件引用出現的原因

1. Web應用往往在生成Web頁面時會用它的真實名字，且並不會對所有的目標物件訪問時來檢查使用者許可權，所以這就造成了不安全的物件直接引用的漏洞。

2. 伺服器上的具體檔名、路徑或資料庫關鍵字等內部資源被暴露在URL或網頁中，攻擊者可以嘗試直接訪問其他資源。

三、不安全的直接物件引用的例項

攻擊者可以嘗試不同的目錄層次來獲得系統檔案win.ini，例如，

澳大利亞稅務局網站曾發生一位使用者通過修改網站URL中的ABNID號而獲得直接訪問17000家公司稅務資訊的事件。

三、不安全的直接物件引用的防禦措施

對於此安全風險的防禦，主要從使用非直接的物件引用和檢查許可權來考慮，具體包括以下：

1. 避免在URL或網頁中直接引用內部檔名或資料庫關鍵字。

2. 鎖定網站伺服器上的所有目錄和資料夾，設定訪問許可權。

3. 驗證使用者輸入和URL請求，拒絕包含./或../的請求。