北京
想象一个场景：你拿着自家门卡刷开了小区大门，保安看了眼卡，放行。然后你走到隔壁单元，用同一张卡刷开了邻居家的门——卡是真的，门也是真的，但保安从没想过要问"这房子是不是你的"。
这就是 BOLA（Broken Object Level Authorization），OWASP API 十大漏洞榜首。它可怕的地方在于，请求本身毫无破绽：格式正确、身份合法、路径合规。WAF 站在门口检查了半天，愣是找不到拦你的理由。
Cloudflare 去年给 API Shield 加了被动检测，靠分析真实流量找异常。这招在流量充沛、攻击明显的环境里挺好使，但开发环境没用户，生产环境没攻击，安全团队总不能干等着。
所以他们现在把 DAST 工具搬上来了，首版只盯 BOLA。传统 DAST 的痛点在于把 API 当成端点清单来扫，而 BOLA 需要"先创建再越权"的完整链条——你得先有个资源，才能测试别人能不能动它。Cloudflare 的做法是把 API 看成调用图，用 Workers AI 来推理数据关系、生成假数据、填补 OpenAPI 规范的空白。
技术栈倒是挺实在：Temporal 管编排，Rust 写后端，HashiCorp Vault 加密凭证。扫描结果进"安全洞察"仪表盘，也能接 CI/CD 管道。
对比之下，Salt Security 那种纯被动检测需要数天甚至数周的流量监控，在开发流水线里基本插不上手。Cloudflare 这次算是补上了主动测试这块拼图，虽然后续 SQL 注入、XSS 的支持还在排队。
目前 API Shield 客户可以直接开测，其他人得先排候补名单。一位早期用户反馈说，最意外的发现是"原来我们的测试环境根本没覆盖过这条创建-越权的链路"——而这恰恰是很多 BOLA 漏洞在上线前漏网的原因。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
