越权防范。越权的威胁在于一个账户即可控制全站用户数据，当然这些数据仅限于存在漏洞功能对应的数据。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。针对越权漏洞产生的原因制定出响应的防范措施。
(1）通过采用类似spring security等成熟的权限管理框架，规范系统的用户权限。
(2）可以从用户的加密认证cookie中获取当前用户id，防止攻击者对其修改。或在session、cookie中加入不可预测的user信息。
(3）每次页面访问时对用户权限进行验证，采用表单或其他参数提交用户进行访问操作的凭证时，应尽可能采用难以猜测的构造方式（增加字母及随机数字等）或采用复杂的加密算法加密后提交，在客户端和服务器端对提交的凭证或会话的权限进行验证。
(4）对管理功能模块进行严格的权限验证，如非必要建议不对互联网开放或进行网络层的访问控制。
