Что такое BOLA (Broken Object Level Authorization)?

BOLA (ранее известная как IDOR) — это уязвимость №1 в рейтинге OWASP API Security Top 10.

Возникает, когда API не проверяет, имеет ли текущий авторизованный пользователь право доступа к запрашиваемому объекту.

Пример:
Юзер авторизован (токен валиден). Он делает запрос GET /api/accounts/777.
Сервер отдает данные счета №777, не проверив, что этот счет принадлежит другому человеку.

✅ Защита: На уровне бизнес-логики всегда сверять user_id из JWT-токена с owner_id запрашиваемого ресурса в БД.