这类问题我提过很多次，影响的话还是蛮大的，注册2个账号，下2个订单，如图
然后订单2取消订单，截断http请求，post数据改为订单1的
关键订单号起作用的就是后5位，只要随便改下，再有时间找个规律，没时间遍历数字，用burp类似工具参数化订单号，直接跑下，ok，危害就出来了
看下结果有没有取消，提交请求
再看看订单状态
修复方案：
被人恶意跑脚本危害还是很大的，权限控制很重要，判断是否当前用户有该权限，多传一个参数吧
查看更多关于买卖宝取消任意用户订单，可批量执行 - 网站安的详细内容...
声明：本文来自网络，不代表【好得很程序员自学网】立场，转载请注明出处：http://www.haodehen.cn/did13983